LockBit Ransomware

• Hackers interrompem as negociações de um dos maiores bancos do mundo com o Tesouro dos EUA (CBC News)
• Ransomware russo Lockbit ameaça vazar dados internos da The Weather Network na Dark Web (The Globe And Mail)
• LockBit fecha porto marítimo no Japão: Ataques OT têm um enorme impacto (Techzine)
• Ataque de ransomware à gigante do seguro odontológico dos EUA expõe dados de 9 milhões de pacientes (TechCrunch)

O LockBit 2.0 busca acesso inicial a redes-alvo principalmente por meio de acesso comprado, vulnerabilidades não corrigidas, acesso interno e explorações de dia zero. No modelo RaaS do LockBit, o grupo operacional primário recruta Initial Access Brokers (IAB) por meio de anúncios na dark web para obter credenciais roubadas para acesso ao Remote Desktop Protocol (RDP) ou Virtual Private Network (VPN). O grupo LockBit também desenvolve explorações de vulnerabilidades de software conhecidas para tirar proveito de redes corporativas sem patches ou mal configuradas. 

Depois que o acesso inicial é obtido, o malware LockBit 2.0 faz o download de ferramentas C2 apropriadas para o ambiente-alvo. O malware C2 de segundo estágio do LockBit 2.0 usa ferramentas padrão de teste de penetração, como Cobalt Strike Beacon, MetaSploit e Mimikatz, bem como código de exploração personalizado. Assim como o Conti, o LockBit 2.0 pode se espalhar em uma rede-alvo usando uma funcionalidade semelhante a um worm. O código-fonte do malware LockBit 2.0 também é notório por se proteger da análise de pesquisadores de segurança; as ferramentas são criptografadas por padrão e só são descriptografadas quando um ambiente adequado é detectado.

Os IABs do LockBit 2.0 implantam um aplicativo conhecido como "Stealbit" para atacar os arquivos de uma vítima com um conjunto personalizável de extensões de arquivos de destino. Depois que os arquivos visados são copiados para um servidor controlado pelo invasor, o LockBit 2.0 se instala no Registro do Windows como um processo de inicialização automatizado para manter a persistência, de modo que seja iniciado automaticamente quando o computador for reiniciado. O LockBit 2.0 também tenta se mover lateralmente em uma rede por meio de conexões com outros hosts para implantar o ransomware em outras máquinas.

Em seguida, o malware instala um arquivo de ícone personalizado e prossegue com a criptografia multithread usando um par de chaves de sessão ECC (Curve25519), com a chave privada criptografada com uma chave pública ECC armazenada no Registro do Windows. As versões anteriores do LockBit acrescentavam uma extensão de arquivo ".acbd" para diferenciar os arquivos resgatados; as versões mais recentes usam uma extensão ".lockbit". Finalmente, o LockBit altera o papel de parede da área de trabalho para a imagem de aviso de resgate do LockBit e uma nota de resgate intitulada "Restore-My-Files.txt" é colocada em cada diretório afetado.