Криптиращият софтуер LockBit се завръща със своята пета версия и атакува на три континента едновременно

След кратко затишие операторът на рансъмуера LockBit се върна към дейността си, като пусна нова версия на зловредния софтуер. През пролетта на 2024 година инфраструктурата на групата беше нарушена по време на международната операция „Cronos“, но през есента стана ясно, че атаките са възобновени с нова сила.

Завръщането съвпадна с пускането на LockBit 5.0 – версия с вътрешно обозначение „ChuongDong“, която значително разшири възможностите на платформата.

От септември насам Check Point Research регистрира поредица от атаки срещу компании в Западна Европа, Северна и Южна Америка и Азия. Около половината от инцидентите са свързани с най-новата компилация LockBit 5.0, докато останалите са свързани с по-ранната модификация LockBit Black. Повечето от компроматите са били в системи с Windows, което представлява около 80 % от всички инфекции. Останалите инциденти са свързани с Linux-базирани сървъри и ESXi хипервайзори, което потвърждава мултиплатформения характер на новия инструмент.

Възобновяването на кампаниите беше съпроводено с реорганизация на партньорската програма. Администраторът под псевдонима LockBitSupp възстанови партньорската мрежа, като предложи достъп до контролния панел и инструментите за криптиране срещу депозит от 500 USD в криптовалута. Според оценки на анализатори подобна схема е възобновила модела „изнудване като услуга“, позволявайки на групата да възстанови влиянието си на сенчестия пазар.

Петата версия на зловредния софтуер показва забележителен технически напредък. Алгоритмите за криптиране са коригирани – сега те действат по-бързо, намалявайки времето, с което разполагат специалистите, за да реагират.

Освен това при всяка атака се използват уникални 16-символни файлови разширения, избрани на случаен принцип, което затруднява разпознаването на инфекцията с помощта на стандартни инструменти. Добавени са пречки срещу отстраняване на грешки и обратно инженерство, за да се затрудни анализът, като се предотврати изследването на злонамерената логика.

Механизмът за изнудване също е претърпял промени. Сега на жертвите се оставят бележки, сочещи към LockBit 5.0, както и персонализирани линкове за преговори. Определени са строги крайни срокове – ако не бъде осъществен контакт в рамките на 30 дни, откраднатата информация бива публикувана. Подобни тактики, съчетаващи техническа сложност и твърд натиск още веднъж подчертават устойчивостта на добре организираните престъпни групи.