Компания за киберсигурност потвърди съществуването на нова версия на LockBit

В началото на този месец в хакерски форум се появи реклама за нов вариант на LockBit. Рансъмуер заплахата тормози интернет потребители и специалисти по сигурност вече години наред. Макар и през годините силите на реда да се хвалиха как са разбили „бандата зад LockBit“, атаките с рансъмуер заплахата продължаваха. И изглежда няма да спрат. Защо?

Причините LockBit да направи завръщането си по-рано този месец са основно две. Първата и най-важната е, че по-рано тази година изтече изходния код на последната версия на LockBit. Другата е в киберпрестъпната икономика и правилата ѝ. Една конкретна „банда“ зад всяка една модерна рансъмуер заплаха да се назове, звучи погрешно. RaaS или „рансъмуер като услуга“ (ransomware-as-a-service). Това от години е водещ бизнес модел в този тип кампании. При него, авторите на заплахата отдават „под наем“ код, обучение и инструменти на други киберпрестъпници срещу част от откупа. По този начин, „бандата“ – създателите на програмата, остава скрита. Биват арестувани обикновено „бизнес партньорите“ на хората зад съответната заплаха. И разбира се друга причина тук е, че подобно на природата, нищо не изчезва напълно, а само променя формата си. Случаите, в които киберпрестъпна група изчезва и бива заменена от друга, е често.

По-рано тази седмица компанията за киберсигурност Trend Micro потвърди наличието на преди рекламираната пета версия на LockBit. Те са се натъкнали на изпълним файл за Windows, който представлява нова версия на LockBit. LockBit 5.0, както я наричат специалистите е по-опасна и по-съвършена от предходните, потвърждават Trend Micro. Освен това, в публикацията си от тази седмица, те потвърждават наличието на Linux и ESXi варианти на рансъмуера.

„Наличието на Windows, Linux и ESXi варианти утвърждават тяхната кросплатформена стратегия. Това позволява едновременни атаки към цялостния мрежов спектър на организациите“, пишат Trend Micro. От крайните точки до критично важните сървъри, помещаващи базите с данни, и виртуализационните платформи.

Съобщава се, че този вариант предлага на ползващите го по-гъвкави настройки и по-подробни инструкции за използването му. LockBit 5.0 е далеч по-съвършен в техническо отношение. Той премахва инфекционните маркери, притежава далеч по-бърз механизъм на криптиране и техники за избягване на анализ и засичане.

Trend Micro допълват, че LockBit 5.0 има подобрен потребителски интерфейс. Той описва различните настройки и предпочитания за изпълнение на заплахата. Това включва избор на директория, която да бъде криптирана или пропусната, различни режими на изпълнение, настройки за бележките за откуп, филтриращи опции, настройки на криптирането и примери за използването му.

Trend Micro отбелязват като притеснителна новост добавянето на възможност за криптирането на ESXi масиви. Обикновено ESXi сървърите помещават множество виртуални машини. Това позволява на атакуващата страна да криптира цели виртуализирани среди посредством едно-единствено действие.