อัปเดต] 31 สิงหาคม 2023: ดูหัวข้อย่อย: “การต่อสู้ในการปฏิบัติงานของ LockBit ภัยคุกคามที่ว่างเปล่า และไฟกระชากฉับพลัน”

[อัปเดต] 3 กรกฎาคม 2023: LockBit อ้างว่าแฮ็ก Taiwan Semiconductor Manufacturing Company (TSMC) แต่ TSMC ชี้แจงว่ามีการละเมิด Kinmax Technology ซึ่งเป็นซัพพลายเออร์เพียงรายเดียว เพิ่มหัวข้อย่อย: “TSMC ยืนยันการแฮ็กซัพพลายเออร์ตามการเรียกร้องของ Lockbit”

[อัปเดต] 23 มิถุนายน 2023: มีรายงานว่า LockBit กำลังพัฒนาแรนซัมแวร์ที่สามารถกำหนดเป้าหมายระบบได้กว้างขึ้น โดยเพิ่มหัวข้อย่อย: “LockBit พยายามขยายการเข้าถึงไปยังสถาปัตยกรรมที่แตกต่างกัน: Apple, Linux, FreeBSD”

[อัปเดต] 15 มิถุนายน 2566: LockBit ถูกระบุว่าเป็นกลุ่มแรนซัมแวร์ระดับโลกที่มีการใช้งานมากที่สุดและผู้ให้บริการ RaaS โดยพิจารณาจากจำนวนเหยื่อบนไซต์ข้อมูลรั่วไหล เพิ่มภายใต้หัวข้อย่อย “กลุ่ม Ransomware ที่มีการใช้งานมากที่สุดในปี 2022: LockBit”

ความถี่ของการโจมตีแรนซัมแวร์เพิ่มขึ้นทุกปี กลุ่มเดียวคือ LockBit Ransomware Group ซึ่งรับผิดชอบต่อการโจมตีมากกว่าหนึ่งในสามของการโจมตีแรนซัมแวร์ทั้งหมดในช่วงครึ่งหลังของปีที่แล้ว ซึ่งเป็นไตรมาสแรกของปี 2566

LockBit Ransomware Group ถูกตรวจพบครั้งแรกในเดือนกันยายน 2019 และกลายเป็นกลุ่มแรนซัมแวร์ที่มีการใช้งานมากที่สุดในปี 2022 ด้วยการปิดตัวของ Conti และในช่วงไตรมาสแรกของปี 2023 พวกเขายังคงโดดเด่นในฐานะกลุ่มแรนซัมแวร์ที่มีการใช้งานมากที่สุด กลุ่มนี้มีบันทึกการประกาศเหยื่อมากกว่า 1,500 รายการบนแพลตฟอร์ม SOCRadar ทำลายสถิติในไตรมาสแรกของปี 2566 ในฐานะกลุ่มแรนซัมแวร์ที่มีการใช้งานมากที่สุด ณ ขณะนี้ โดยมีการประกาศเหยื่อมากกว่า 300 ราย

Atento ซึ่งเป็นบริษัท CRM แสดงให้เห็นถึงผลกระทบของการโจมตีโดย LockBit โดยมีมูลค่า 42.1 ล้านเหรียญสหรัฐในรายงานประสิทธิภาพทางการเงินที่เผยแพร่ในปี 2564 34.8 ล้านเหรียญสหรัฐเกิดจากการสูญเสียรายได้ และ 7.3 ล้านเหรียญสหรัฐเป็นค่าใช้จ่ายในการบรรเทาผลกระทบ แม้ว่าตัวเลขทางดาราศาสตร์เหล่านี้อาจแตกต่างกันไปในแต่ละบริษัท แต่ความสูญเสียทางการเงินทั้งหมดที่เกิดจากการกระทำที่เป็นอันตรายของ LockBit อาจมีมูลค่าเกินกว่าพันล้านดอลลาร์

ประกาศนับเหยื่อจนถึงปี 2023

นักวิจัยด้านความปลอดภัยยังพบสายพันธุ์ใหม่และหลักฐานที่กลุ่มที่รับผิดชอบ LockBit 3.0 วางแผนที่จะขยายขีดความสามารถในการติดมัลแวร์ แม้ว่า LockBit 3.0 เวอร์ชันล่าสุดจะกำหนดเป้าหมายเซิร์ฟเวอร์ Windows, Linux และ VMware ESXi ก่อนหน้านี้ แต่ก็มีการระบุตัวเข้ารหัส LockBit เวอร์ชันใหม่ที่อาจส่งผลต่อ CPU ของ macOS, ARM, FreeBSD, MIPS และ SPARC เมื่อพิจารณาจากปริมาณการโจมตีที่มากของกลุ่มแล้ว ก็มีแนวโน้มว่าพวกเขาจะยังคงเพิ่มจำนวนอุปกรณ์เป้าหมายต่อไป ซึ่งอาจส่งผลให้เกิดการโจมตี LockBit เพิ่มขึ้นอย่างมากในเร็วๆ นี้

มัลแวร์เรียกค่าไถ่ MacOS/Linux สายพันธุ์ LockBit (ที่มา: Virustotal)

Who is LockBit 3.0 Ransomware Group

LockBit 3.0 เป็นกลุ่ม Ransomware-as-a-Service (RaaS) ที่สานต่อมรดกของ LockBit และ LockBit 2.0 ตั้งแต่เดือนมกราคม 2020 LockBit ได้นำแนวทางแรนซัมแวร์แบบพันธมิตรมาใช้ โดยที่บริษัทในเครือใช้กลยุทธ์ต่างๆ เพื่อกำหนดเป้าหมายธุรกิจที่หลากหลายและองค์กรโครงสร้างพื้นฐานที่สำคัญ LockBit มีบทบาทอย่างมากในการปรับใช้โมเดลต่างๆ เช่น การขู่กรรโชกซ้ำซ้อน บริษัทในเครือนายหน้าการเข้าถึงเบื้องต้น และการโฆษณาบนฟอรัมของแฮ็กเกอร์ เป็นที่ทราบกันดีว่าพวกเขารับสมัครคนวงในและแข่งขันกันในฟอรัมเพื่อสรรหาแฮกเกอร์ที่มีทักษะ นโยบายการขยายตัวดังกล่าวได้ดึงดูดบริษัทในเครือจำนวนมาก ตกเป็นเหยื่อของหน่วยงานนับพัน และดำเนินการที่เป็นอันตรายต่อไป

LockBit Ransomware Group ยังรันโปรแกรมค่าหัวบั๊กของตัวเองอีกด้วย

LockBit Black หรือที่รู้จักกันในชื่อ LockBit 3.0 ได้รับการเรียกคืนเป็น LockBit เวอร์ชันล่าสุดตั้งแต่เดือนกรกฎาคม 2022 หนึ่งในความแตกต่างที่สำคัญจากรุ่นก่อนคือความสามารถในการปรับแต่งตัวเลือกต่างๆ ในระหว่างการรวบรวมและการดำเนินการของเพย์โหลด LockBit 3.0 ใช้วิธีการแบบโมดูลาร์และเข้ารหัสเพย์โหลดจนกระทั่งดำเนินการ ซึ่งนำเสนออุปสรรคสำคัญต่อการวิเคราะห์และการตรวจจับมัลแวร์

     LockBit เปิดเผยเหยื่อบนเว็บไซต์ที่รั่วไหลและกำหนดเส้นตายสำหรับการเรียกค่าไถ่

เป้าหมายของ LockBit 3.0 คืออะไร

LockBit 3.0 จะทำให้ระบบเป้าหมายติดเชื้อ หากไม่อยู่ในรายการยกเว้นของภาษาใดภาษาหนึ่ง ภาษาที่ยกเว้น ได้แก่ ภาษาท้องถิ่นของประเทศที่ได้รับอิทธิพลจากรัสเซียและภาษาของประเทศพันธมิตรรัสเซีย

เพื่อยืนยันตำแหน่งของระบบเป้าหมาย LockBit ransomware จะใช้ฟังก์ชันต่างๆ:

• GetSystemDefaultUILanguage()
• GetUserDefaultUILanguage()

มันจะตรวจสอบผลลัพธ์กับกลุ่มประเทศ และในกรณีที่สถานที่ไม่ตรงกับประเทศที่ระบุ มัลแวร์จะดำเนินการขั้นตอนการตรวจสอบในภายหลัง ภาษาบางภาษาที่ยกเว้น ได้แก่ ภาษาโรมาเนีย (มอลโดวา) อารบิก (ซีเรีย) และตาตาร์ (รัสเซีย) แต่รายการนี้ยังไม่ใช่รายการทั้งหมด

แม้ว่ากลุ่มแรนซั่มแวร์จะอ้างว่าไม่ได้เกี่ยวข้องกับการเมือง แต่เป้าหมายจำนวนมากดูเหมือนจะเป็น NATO และประเทศพันธมิตร จากข้อมูลของ SOCRadar ประมาณครึ่งหนึ่งของการโจมตีด้วยตัวแปร LockBit 3.0 ส่งผลกระทบต่อบริษัทในสหรัฐฯ

            เหยื่อ Ransomware ของ LockBit 3.0 ตามประเทศต้นทาง

ตามข้อมูลของ SOCRadar อีกครั้ง การผลิตเป็นผู้นำแบบรายสาขา แต่ก็เป็นไปไม่ได้ที่จะระบุอุตสาหกรรมที่เป็นเป้าหมายโดยเฉพาะ ความจริงที่ว่าการดูแลสุขภาพและการศึกษาเป็นหนึ่งในภาคส่วนที่พวกเขากำหนดเป้าหมายมากที่สุดเผยให้เห็นว่าไม่มีอุตสาหกรรมใดถูกยกเว้น และในแง่ของประเภทธุรกิจ อย่างไรก็ตาม พบว่ามักจะกำหนดเป้าหมายไปที่องค์กรขนาดเล็กหรือขนาดกลาง บริษัทขนาดใหญ่ เช่น บริษัทไอที Accenture ก็สามารถตกเป็นเหยื่อของ LockBit ได้เช่นกัน

            อุตสาหกรรมเป้าหมายสูงสุดโดย LockBit 3.0

การค้นพบ LockBit 3.0 Ransomware

ตามคำแนะนำของ CISA:

LockBit 3.0 ซึ่งเป็น Ransomware-as-a-Service (RaaS) มีตัวเลือกมากมายสำหรับการกำหนดค่าลักษณะการทำงานระหว่างการคอมไพล์ เมื่อดำเนินการในระบบของเหยื่อแล้ว บริษัทในเครือ LockBit 3.0 จะสามารถปรับเปลี่ยนพฤติกรรมของตนได้โดยใช้ข้อโต้แย้งเพิ่มเติม เช่น การเคลื่อนไหวด้านข้างหรือเซฟโหมด หากบริษัทในเครือ LockBit ไม่สามารถเข้าถึงแรนซัมแวร์เวอร์ชันไร้รหัสผ่านได้ พวกเขาจะต้องระบุรหัสผ่านในระหว่างการดำเนินการ คีย์การเข้ารหัสที่ให้มาจะถอดรหัสปฏิบัติการของแรนซัมแวร์เพื่อปกป้องไฟล์ที่เข้ารหัสที่อัปโหลดไปยังระบบเป้าหมาย

บริษัทในเครือ LockBit 3.0 ใช้วิธีการที่หลากหลายสำหรับการเข้าถึงครั้งแรก รวมถึงการใช้ประโยชน์จาก RDP การเปิดตัวแคมเปญฟิชชิ่ง และการใช้ประโยชน์จากช่องโหว่ในแอปพลิเคชันที่เปิดเผยต่อสาธารณะ การใช้ตัวติดตั้งแพ็คเกจโอเพ่นซอร์สที่เรียกว่า Chocolatey เพื่อติดตั้งและดำเนินการเพย์โหลดที่เป็นอันตรายเป็นคุณสมบัติที่เกิดซ้ำในการโจมตี LockBit 3.0 ซึ่งน่าจะใช้เพื่อหลบเลี่ยงการตรวจจับ

LockBit 3.0 ใช้ข้อมูลประจำตัวแบบฮาร์ดโค้ดหรือบัญชีท้องถิ่นที่ถูกบุกรุกพร้อมสิทธิพิเศษระดับสูงในการแพร่กระจายผ่านเครือข่ายของเหยื่อ การใช้โปรโตคอล Server Message Block (SMB) ก็สามารถแพร่กระจายผ่าน Group Policy Objects และ PsExec ได้เช่นกัน หลังจากการเข้ารหัส LockBit 3.0 จะส่งบันทึกเรียกค่าไถ่และเปลี่ยนวอลเปเปอร์และไอคอนของโฮสต์เป็นแบรนด์ LockBit นอกจากนี้ยังอาจส่งข้อมูลโฮสต์และบอทที่เข้ารหัสไปยังเซิร์ฟเวอร์คำสั่งและการควบคุม

    หมายเหตุแรนซัมแวร์ของ LockBit 3.0 ในรูปแบบวอลเปเปอร์ (ที่มา: CISA)

บริษัทในเครือ LockBit 3.0 ถอนไฟล์ข้อมูลบริษัทที่มีความละเอียดอ่อนก่อนการเข้ารหัสโดยใช้เครื่องมือ Stealbit, rclone และเครื่องมือกรองที่ LockBit ใช้บริการแชร์ไฟล์สาธารณะและบริการทั่วไป บริษัทในเครือของพวกเขายังใช้บริการแชร์ไฟล์สาธารณะอื่น ๆ เพื่อขโมยข้อมูล ผู้คุกคามของ LockBit ใช้เครื่องมือต่างๆ เช่น ProDump และ SoftPerfect Network Scanner เพื่อรวบรวมข้อมูลเกี่ยวกับชื่อโฮสต์ บริการเครือข่าย และโปรโตคอลการเข้าถึงระยะไกล พวกเขายังใช้ซอฟต์แวร์เดสก์ท็อประยะไกล เครื่องมือถ่ายโอนไฟล์ยอดนิยม และ PuTTY Link เพื่อย้ายระหว่างโฮสต์และถ่ายโอนไฟล์ระหว่างโฮสต์ที่ถูกบุกรุกและเซิร์ฟเวอร์คำสั่งและควบคุม

LockBit ransomware จะลบไฟล์บันทึก ไฟล์ในถังรีไซเคิล และสำเนาเงาของไดรฟ์ข้อมูลหลังจากเข้ารหัสไฟล์ของเหยื่อ กลุ่มนี้ยังใช้วิธีการเข้ารหัสแบบไฮบริดโดยใช้อัลกอริธึมการเข้ารหัส AES และ RSA

ภาพรวมของการทำงานของ LockBit โดยทั่วไป (ที่มา: ศูนย์ความมั่นคงทางไซเบอร์แห่งออสเตรเลีย)

กลุ่มแรนซัมแวร์ที่มีการใช้งานมากที่สุดในปี 2022: LockBit

กลุ่ม LockBit รับผิดชอบต่อการโจมตีแรนซัมแวร์ประมาณหนึ่งในหกที่กำหนดเป้าหมายไปที่หน่วยงานรัฐบาลของสหรัฐอเมริกาในปี 2565 ตามรายงานของหน่วยงานรักษาความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA), FBI และหน่วยงานความปลอดภัยทางไซเบอร์อื่น ๆ

ในความพยายามร่วมกัน หน่วยงานต่างๆ ได้เผยแพร่การทดสอบ LockBit อย่างครอบคลุม ซึ่งถือเป็นตัวแปรเรียกค่าไถ่ที่มีการใช้งานกันอย่างแพร่หลายทั่วโลกในปี 2022

LockBit ดำเนินการโจมตีเกือบ 1,700 ครั้งและได้รับเงิน 91 ล้านดอลลาร์จากเหยื่อในสหรัฐอเมริกา

หน่วยงานเปิดเผยว่า LockBit ได้อ้างความรับผิดชอบต่อการโจมตีแรนซัมแวร์อย่างน้อย 1,653 ครั้งโดยระบุรายชื่อเหยื่อบนไซต์ที่รั่วไหล และนับตั้งแต่การโจมตีครั้งแรกในสหรัฐอเมริกาในเดือนมกราคม 2020 กลุ่มนี้ได้รีดไถเงินประมาณ 91 ล้านดอลลาร์จากเหยื่อในสหรัฐอเมริกา

ประเทศที่เข้าร่วมแต่ละประเทศแบ่งปันสถิติที่แสดงให้เห็นถึงความแพร่หลายของ LockBit ในภูมิภาคของตน ตัวอย่างเช่น ออสเตรเลียรายงานว่าแก๊งค์ดังกล่าวคิดเป็น 18% ของเหตุการณ์แรนซัมแวร์ที่รายงานทั้งหมดในปีที่ผ่านมา LockBit เป็นผู้รับผิดชอบต่อการโจมตีมากกว่า 20% ในแคนาดาและนิวซีแลนด์ในปี 2022

ในสหรัฐอเมริกา LockBit กำหนดเป้าหมายไปที่หน่วยงานสาธารณะ รวมถึงหน่วยงานเทศบาลและหน่วยงานของรัฐ สถาบันการศึกษาของรัฐ และบริการฉุกเฉิน เช่น หน่วยงานบังคับใช้กฎหมาย ซึ่งคิดเป็น 16% ของการโจมตี

ผลกระทบที่เพิ่มขึ้นของ LockBit

คำแนะนำเกี่ยวกับ CISA สรุปกลยุทธ์ของ LockBit และช่องโหว่ที่ถูกโจมตี โดยเน้นถึงการใช้งานของกลุ่มบริษัทในเครือที่ใช้วิธีการที่หลากหลายในการละเมิดองค์กร บริษัทในเครือบางแห่งยังใช้ประโยชน์จากช่องโหว่ยอดนิยมเช่น Log4j

LockBit ดำเนินงานในฐานะ Ransomware-as-a-Service (RaaS) ดึงดูดบริษัทในเครือให้ทำการโจมตีแรนซัมแวร์ที่หลากหลาย นอกจากนี้ CERT NZ ยังสังเกตเห็นว่าบริษัทในเครือของ LockBit มีส่วนร่วมในการขู่กรรโชกแรนซัมแวร์รองโดยกำหนดเป้าหมายไปที่องค์กรที่รับผิดชอบในการจัดการเครือข่ายอื่นๆ หลังจากแพร่ระบาดไปยังเป้าหมายหลักแล้ว บริษัทในเครือจะดำเนินการขู่กรรโชกบริษัทลูกค้าโดยใช้แรนซัมแวร์รอง เพื่อล็อคบริการที่พวกเขาใช้ การค้นพบนี้เน้นย้ำถึงการเข้าถึงที่กว้างขวางของ LockBit และเครือข่ายการกระจายอำนาจของผู้แสดงภัยคุกคามที่เกี่ยวข้องกับการโจมตีเหล่านี้

LockBit ได้ปรับปรุงการดำเนินงานอย่างต่อเนื่อง โดยพัฒนาผ่านหลายเวอร์ชันนับตั้งแต่ LockBit Red เช่น LockBit 2.0 และ LockBit 3.0 (LockBit Black) กลุ่มนี้ได้รวมเครื่องมือจากแรนซัมแวร์สายพันธุ์อื่นๆ เช่น BlackMatter และ ALPHV (BlackCat Ransomware) เข้ากับ LockBit 3.0 ในเดือนมกราคม ปี 2023 LockBit ได้เปิดตัว LockBit Green ซึ่งประกอบด้วยซอร์สโค้ดจากแรนซัมแวร์ Conti ที่สิ้นสุดแล้ว

ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ได้กล่าวถึงแนวทางที่โดดเด่นของ LockBit ในการปรับปรุงโมเดลอย่างต่อเนื่อง การเปิดตัว LockBit 2.0 ในช่วงกลางปี ​​2564 มีผลกระทบทันทีต่อตลาดอาชญากรไซเบอร์

LockBit พยายามขยายการเข้าถึงไปยังสถาปัตยกรรมที่แตกต่างกัน: Apple, Linux, FreeBSD

มีรายงานว่า LockBit กำลังพัฒนาแรนซัมแวร์ที่สามารถกำหนดเป้าหมายระบบได้กว้างขึ้น ขยายไปไกลกว่าสภาพแวดล้อม Windows

นักวิจัยจาก Kaspersky เพิ่งค้นพบไฟล์ ZIP ที่มีตัวอย่างมัลแวร์ LockBit ซึ่งกำหนดเป้าหมายไปที่ FreeBSD, Linux และเทคโนโลยีฝังตัวต่างๆ รวมถึงสถาปัตยกรรมชุดคำสั่ง CPU ที่หลากหลาย รวมถึง ARM, MIPS, ESA/390, PowerPC และแม้แต่ชิป Apple M1 ที่ใช้ใน Mac และอุปกรณ์ไอแพด

นักวิจัยระบุว่าตัวอย่างเหล่านี้มาจากรูปแบบการเข้ารหัสรุ่นก่อนหน้าของ LockBit ซึ่งผู้คุกคามใช้ในการกำหนดเป้าหมาย VMWare ESXiservers อย่างไรก็ตาม ตัวอย่างยังคงอยู่ระหว่างการพัฒนาเนื่องจากบางตัวอย่างไม่ได้ลงนามและยังไม่สามารถดำเนินการได้

ถึงกระนั้น ความจริงที่ว่า LockBit พยายามพัฒนาแรนซัมแวร์ดังกล่าว บ่งบอกถึงแนวโน้มที่เพิ่มขึ้นในหมู่นักแสดงแรนซัมแวร์ในการขยายแพลตฟอร์มเป้าหมายของพวกเขา หากปล่อยออกมา แรนซัมแวร์สายพันธุ์ใหม่เหล่านี้อาจสร้างความท้าทายใหม่ๆ ให้กับเหยื่อ และสร้างจุดยืนของ LockBit ในด้านภัยคุกคามที่กำลังพัฒนาต่อไป

TSMC ยืนยันการแฮ็กซัพพลายเออร์ตามการเรียกร้องของ Lockbit

บริษัท Taiwan Semiconductor Manufacturing Company (TSMC) ยืนยันว่าซัพพลายเออร์ฮาร์ดแวร์รายหนึ่งถูกแฮ็ก แต่มั่นใจว่าจะไม่ส่งผลกระทบต่อการดำเนินงานหรือข้อมูลลูกค้า

กลุ่มนี้เรียกร้องค่าไถ่ 70 ล้านดอลลาร์จาก TSMC แต่ไม่มีข้อบ่งชี้ว่ามีแผนจะจ่ายเงินใด ๆ

            การเปิดเผยการแฮ็ก TSMC บนไซต์รั่วของ Lockbit

ซัพพลายเออร์ Kinmax รับทราบการละเมิดในสภาพแวดล้อมการทดสอบภายใน ซึ่งมีการเตรียมการติดตั้งระบบสำหรับลูกค้า TSMC ยุติการแลกเปลี่ยนข้อมูลกับ Kinmax ทันทีหลังจากการละเมิด

Kinmax ได้ขออภัยต่อลูกค้าที่ได้รับผลกระทบและใช้มาตรการรักษาความปลอดภัยที่ได้รับการปรับปรุงเพื่อป้องกันเหตุการณ์ในอนาคต

การต่อสู้ในการปฏิบัติงานของ LockBit ภัยคุกคามที่ว่างเปล่า และไฟกระชากฉับพลัน

ขอบเขตความปลอดภัยทางไซเบอร์ได้มีส่วนร่วมในการอภิปรายเกี่ยวกับสถานการณ์ของ LockBit มาระยะหนึ่งแล้ว นักวิจัยรายงานว่ามีความท้าทายในการปฏิบัติงานภายในแก๊งแรนซัมแวร์

ความท้าทายของแก๊งค์นี้ส่งผลให้คุณภาพของกิจกรรมแรนซัมแวร์ลดลงอย่างเห็นได้ชัด อย่างไรก็ตาม แก๊งฉาวโฉ่ยังคงนำเสนอเรื่องราวที่ชัดเจนในการสื่อสารของพวกเขา

อย่างไรก็ตาม แม้ว่าจะยังคงรักษารูปลักษณ์ภายนอกเอาไว้ แต่ข้อสังเกตของนักวิจัยก็ถือเป็นเรื่องจริง – LockBit สะดุดล้มอย่างต่อเนื่องในความพยายามที่จะเปิดเผยข้อมูลที่ถูกขโมยไปจริงๆ การขาดการเชื่อมต่อระหว่างคำกล่าวอ้างและการกระทำของพวกเขาได้นำไปสู่ข้อสรุปว่าภัยคุกคามของพวกเขานั้นกลวงๆ โดยอาศัยชื่อเสียงอันโด่งดังของพวกเขาเพียงอย่างเดียวในการกดดันให้เหยื่อต้องจ่ายค่าไถ่

ในขณะที่การอภิปรายเหล่านี้ยังคงมีอยู่ เหตุการณ์ล่าสุดก็เกิดขึ้นข้างหน้า หลังจากไม่มีการใช้งานเป็นระยะเวลาหลายเดือน กลุ่มมัลแวร์เรียกค่าไถ่ LockBit ได้ระบุรายชื่อเหยื่อมากกว่า 20 รายภายในวันเดียว

ทวีตล่าสุดจาก vx-underground ไม่เพียงแต่ยืนยันกิจกรรมที่เพิ่มขึ้น แต่ยังเน้นย้ำว่าแก๊งค์ได้จัดทำดัชนีเว็บไซต์ใหม่ทั้งหมดแล้ว ณ วันที่ 31 สิงหาคม 2023 ไซต์ที่ได้รับการปรับปรุงใหม่ในขณะนี้มีรายชื่อเหยื่อก่อนหน้านี้กว่า 100 รายที่คาดว่าข้อมูลรั่วไหล

เนื่องจากการรั่วไหลเหล่านี้เกิดขึ้นหลังจากการกล่าวอ้างเกี่ยวกับการต่อสู้ดิ้นรนของ LockBit ดูเหมือนว่าแก๊งค์กำลังพยายามหักล้างการยืนยันและลดผลกระทบต่อชื่อเสียงของแก๊งค์

                     การรั่วไหลล่าสุดของ LockBit

บทสรุป

โดยสรุป LockBit 3.0 เป็นกลุ่ม Ransomware-as-a-Service (RaaS) ที่มีการใช้งานสูงและกำลังขยายตัว ซึ่งได้ตกเป็นเหยื่อขององค์กรหลายพันแห่งทั่วโลก และใช้กลยุทธ์ เทคนิค และขั้นตอนต่างๆ เนื่องจากมีบริษัทในเครือจำนวนมาก ยิ่งไปกว่านั้น มีความเป็นไปได้สูงที่จำนวนเหยื่อและกลุ่มเป้าหมายจะเพิ่มขึ้นเรื่อยๆ ซึ่งนำไปสู่การโจมตี LockBit ที่เพิ่มขึ้นอย่างเห็นได้ชัดในอีกไม่กี่วันข้างหน้า โดยเฉพาะอย่างยิ่งหากพวกเขากลายเป็นแรนซัมแวร์ตัวแรกที่ส่งผลกระทบต่ออุปกรณ์ IOS การกำหนดเป้าหมายของกลุ่มไปยังหลายประเทศและภาคส่วนต่างๆ และความพยายามของกลุ่มในการเพิ่มจำนวนระบบที่สามารถแพร่เชื้อได้ ยังแสดงให้เห็นว่ากลุ่มนี้ก่อให้เกิดอันตรายอย่างมากต่อทุกองค์กร

SOCRadar สามารถช่วยได้อย่างไร?

บริษัทในเครือ LockBit มักใช้แคมเปญฟิชชิ่งเพื่อเข้าถึงการโจมตีแรนซัมแวร์เบื้องต้น เพื่อป้องกันสิ่งนี้ องค์กรต่างๆ สามารถใช้ Digital Risk Protection ของ SOCRadar เพื่อการปกป้องแบรนด์ ซึ่งจะปฏิเสธแคมเปญฟิชชิ่งที่อาจแอบอ้างเป็นโดเมนในเชิงรุก

                 SOCRadar DRP โมดูลตรวจสอบเว็บมืด

นอกจากนี้ บริษัทในเครือ LockBit ยังใช้อีเมลขยะที่มีเอกสารที่เป็นอันตราย และอาจใช้ข้อมูลประจำตัวที่ถูกขโมยเพื่อเข้าถึง เพื่อป้องกันสิ่งเหล่านี้ จึงจำเป็นอย่างยิ่งที่ต้องใช้การรับรองความถูกต้องแบบหลายปัจจัย และระมัดระวังเมื่อเปิดไฟล์แนบในอีเมล

ขั้นตอนที่สำคัญที่สุดในการป้องกันการโจมตีจากแรนซัมแวร์คือการสำรองข้อมูลแบบออฟไลน์ อย่างไรก็ตาม กลุ่มนี้ใช้รูปแบบการขู่กรรโชกซ้ำซ้อน โดยขโมยข้อมูลของเหยื่อก่อนที่จะเข้ารหัส แม้แต่การสำรองข้อมูลแบบออฟไลน์ก็ไม่เพียงพอที่จะหลีกเลี่ยงการจ่ายค่าไถ่ องค์กรควรตระหนักถึงช่องโหว่ในสภาพแวดล้อมของตนเพื่อป้องกันสิ่งนี้ ซึ่งสามารถทำได้ด้วย Attack Surface Management ของ SOCRadar ช่วยให้มองเห็นสินทรัพย์ดิจิทัลที่ต้องเผชิญกับภายนอก ช่วยให้ทีมรักษาความปลอดภัยสามารถติดตามช่องโหว่และจำกัดพื้นที่การโจมตีที่ผู้ให้บริการแรนซัมแวร์อาจหาประโยชน์ได้

                   การจัดการพื้นผิวการโจมตี SOCRadar

MITER ATT&CK TTP

CVE ทั่วไปที่ถูกใช้ประโยชน์โดยบริษัทในเครือ LockBit

CISA ตั้งข้อสังเกตว่าบริษัทในเครือ LockBit ใช้ประโยชน์จากช่องโหว่ทั้งเก่าและใหม่ ซึ่งรวมถึง:

• CVE-2021-22986: F5 iControl REST ช่องโหว่การเรียกใช้โค้ดระยะไกลที่ไม่ได้รับอนุญาต
• CVE-2023-0669: Fortra GoAnyhwere Managed File Transfer (MFT) ช่องโหว่การเรียกใช้โค้ดจากระยะไกล
• CVE-2023-27350: PaperCut MF/NG ช่องโหว่การควบคุมการเข้าถึงที่ไม่เหมาะสม
• CVE-2021-44228: ช่องโหว่การเรียกใช้โค้ดระยะไกลของ Apache Log4j2
  
• CVE-2021-22986: F5 BIG-IP และ BIG-IQ การจัดการแบบรวมศูนย์ ช่องโหว่การเรียกใช้โค้ดจากระยะไกล iControl REST
• CVE-2020-1472: ช่องโหว่การยกระดับสิทธิ์ NetLogon
• CVE-2019-0708: ช่องโหว่การเรียกใช้โค้ดจากระยะไกลของ Microsoft Remote Desktop Services
• CVE-2018-13379: Fortinet FortiOS Secure Sockets Layer (SSL) ช่องโหว่เส้นทางเครือข่ายส่วนตัวเสมือน (VPN)

ดูรายการช่องโหว่ที่รู้จักใช้ประโยชน์ (KEV) ของ CISA สำหรับข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่ดังกล่าว

เครื่องมือที่ใช้โดยบริษัทในเครือ LockBit

LockBit ได้รับการระบุว่าใช้เครื่องมือต่อไปนี้ ตามรายการ CISA:

IOCs

IoC จากรายงานการเริ่มต้น #StopRansomware ของหน่วยงานรัฐบาลสหรัฐฯ บน LockBit 3.0

ไซต์แชร์ไฟล์:

• https://www.premiumize[.]com
• https://anonfiles[.]com
• https://www.sendspace[.]com
• https://fex[.]net
• https://transfer[.]sh
• https://send.exploit[.]in

เครื่องมือฟรีแวร์และโอเพ่นซอร์ส:

• Chocolatey
• FileZilla
• Impacket
• MEGA Ltd MegaSync
• Microsoft Sysinternals ProcDump
• Microsoft Sysinternals PsExec
• Mimikatz
• Ngrok
• PuTTY Link (Plink)
• Rclone
• SoftPerfect Network Scanner
• Splashtop
• WinSCP

Mutex:

• Global

UAC Bypass via Elevated COM Interface:

• C:WindowsSystem32dllhost.exe

Volume Shadow Copy Deletion:

• Select * from Win32_ShadowCopy

Registry Artifacts:

• HKCR.
• HKCRDefaultIcon
• HKCUControl PanelDesktopWallPaper
• SOFTWAREPoliciesMicrosoftWindowsOOBE
• SOFTWAREMicrosoftWindows NTCurrentVersionWinlogon

IoC จากแพลตฟอร์ม SOCRadar:

IP

212[.]102[.]39[.]138

IP

194[.]32[.]122[.]35

IP

178[.]175[.]129[.]35

IP

178[.]162[.]209[.]138

IP

178[.]162[.]209[.]137

IP

172[.]93[.]181[.]238

IP

156[.]146[.]41[.]94

IP

216[.]24[.]213[.]7

IP

37[.]46[.]115[.]29

IP

37[.]46[.]115[.]26

IP

37[.]46[.]115[.]24

IP

37[.]46[.]115[.]17

IP

37[.]46[.]115[.]16

IP

212[.]102[.]35[.]149

IP

178[.]175[.]129[.]37

IP

91[.]90[.]122[.]24

SHA256

5fff24d4e24b54ac51a129982be591aa59664c888dd9fc9f26da7b226c55d835

SHA256

bb574434925e26514b0daf56b45163e4c32b5fc52a1484854b315f40fd8ff8d2

SHA256

9a3bf7ba676bf2f66b794f6cf27f8617f298caa4ccf2ac1ecdcbbef260306194

SHA1

e141562aab9268faa4aba10f58052a16b471988a

SHA1

3d62d29b8752da696caa9331f307e067bc371231

SHA1

3d62d29b8752da696caa9331f307e067bc371231

MD5

03f82d8305ddda058a362c780fe0bc68

MD5

fd8246314ccc8f8796aead2d7cbb02b1

MD5

f41fb69ac4fccbfc7912b225c0cac59d

MD5

ee397c171fc936211c56d200acc4f7f2

MD5

dfa65c7aa3ff8e292e68ddfd2caf2cea

MD5

d1d579306a4ddf79a2e7827f1625581c

MD5

b806e9cb1b0f2b8a467e4d1932f9c4f4

MD5

8ff5296c345c0901711d84f6708cf85f

MD5

8af476e24db8d3cd76b2d8d3d889bb5c

เเหล่งอ้างอิง : Dark Web Profile: LockBit 3.0 Ransomware - SOCRadar® Cyber Intelligence Inc.