Za około połowę cyberataków ransomware w 2022 roku odpowiadały warianty narzędzia LockBit. Tak wynika z badań Fortinet oraz dokumentu opracowanego przez amerykańskie i międzynarodowe podmioty zajmujące się cyberbezpieczeństwem, m.in. FBI. Ransomware LockBit szyfruje i eksfiltruje pliki ofiar oraz żąda okupu za ich odszyfrowanie i dodatkowej opłaty za nieupublicznianie danych. Ataki z wykorzystaniem LockBit wymierzone były w użytkowników najpopularniejszych systemów operacyjnych: Microsoft Windows, Linux, ESXi, a od 2023 roku również w macOS.
Grupa ransomware LockBit jest aktywna od początku 2020 roku i od tamtej pory atakuje podmioty z wielu branż, w tym sektora energetycznego i rządowego. LockBit działa w modelu usługowym (Ransomware-as-a-Service, RaaS), i jest wykorzystywany przez cyberprzestępców zwanych podmiotami stowarzyszonymi. Ich zadanie polega na wybieraniu i infiltrowaniu potencjalnych ofiar oraz wdrażaniu oprogramowania dostarczonego przez dewelopera LockBit. Z badań Fortinet wynika, że odpowiadało ono za ponad połowę z niemal 3300 tego rodzaju cyberataków w 2022 roku.
Wytyczne przeznaczone dla atakujących
Podmioty stowarzyszone muszą działać według konkretnych wytycznych dystrybutora LockBit i list „atakuj” i „nie atakuj”. Atakujący mają zabronione szyfrowanie plików należących do instytucji infrastruktury krytycznej, takich jak elektrownie jądrowe, termiczne, hydroelektryczne, gazociągi i ropociągi, a także stacje produkcji ropy naftowej i rafinerie. Mogą jednak wykradać dane z takich podmiotów, bez szyfrowania ich plików.
Co ciekawe, przestępcy mają zakaz atakowania krajów postsowieckich, czyli m.in. Ukrainy, Białorusi, Rosji, Gruzji, Łotwy, Litwy i Estonii. W innych państwach dopuszczone jest stosowanie LockBit przeciwko agencjom rządowym, dopóki przynoszą zyski, prywatnym i nastawionym na zysk instytucjom edukacyjnym, a także firmom medycznym i farmaceutycznym, o ile atak nie przyczynia się do powodowania śmierci. Ponadto, podmioty stowarzyszone zachęca się do atakowania posterunków policji i organów ścigania. Jednak to, czy przestępcy zastosują się do wytycznych, pozostaje ich własną decyzją.
Jak zarabia LockBit?
Od pojawienia się pierwszego wariantu LockBit minęło już kilka lat, ale metody działania cyberprzestępców się nie zmieniły. Po zainfekowaniu systemu złośliwym oprogramowaniem, LockBit zmienia nazwy zaszyfrowanych plików i umieszcza na ekranie tapety urządzenia informację o ataku oraz konieczności opłaty. Ransomware LockBit stosuje podwójną taktykę wymuszeń, żądając od ofiar zapłacenia okupu za odzyskanie plików i nieujawniania skradzionych informacji publicznie.
LockBit może także grozić atakami typu DDoS (Distributed Denial of Service) ofiarom, jeśli żądany okup nie zostanie zapłacony. W ramach współpracy dystrybutor LockBit oferuje swoim podmiotom stowarzyszonym różne opcje podziału opłaty za okup, która najczęściej ustalana jest w stosunku 1:4 między operatora i atakujących.
Dane (nie)publiczne
Ofiary dotknięte ransomware LockBit są nakłaniane do zapłaty okupu za nieupublicznienie ich danych. Jednak twórcy tego oprogramowania stworzyli witrynę w sieci TOR, na której publikują informacje o ofiarach i skradzionych danych.
Każde zaatakowane urządzenie ma własną stronę z licznikiem czasu przeznaczonego na zapłatę okupu oraz przykładami skradzionych informacji. W niektórych przypadkach przestępcy oferują przedłużenie terminu płatności, możliwość pobrania skradzionych informacji, a także zniszczenie wszystkich kopii za opłatą.
Phishing ciągle problematyczny
Eksperci Fortinet zwracają uwagę, że większość przypadków użycia oprogramowania ransomware odbywa się za pośrednictwem phishingu. Dlatego przedsiębiorstwa powinny rozważyć przeprowadzenie szkoleń pracowników w zakresie rozumienia i wykrywania zagrożeń phishingowych, a także wdrożenie odpowiednich rozwiązań cyberochronnych zaprojektowanych w celu wykrywania tych szkodliwych wiadomości. Ponadto, bardzo istotne jest bieżące tworzenie zapasowych kopii danych, aby w przypadku cyberataku móc je szybko odtworzyć.
Biorąc pod uwagę rozwój ransomware LockBit, w tym rozszerzenie jego działania na systemy macOS w 2023 roku, eksperci Fortinet przewidują, że oprogramowanie to nie zniknie i dalej będzie chętnie wykorzystywane przez cyberprzestępców.