Khi nói đến các mối đe dọa an ninh mạng mới nhất và lớn nhất, có một cái tên nổi bật: LockBit 3.0. Vào năm 2022 , LockBit là nhóm ransomware và nhà cung cấp Ransomware-as-a-Service (RaaS) toàn cầu hoạt động tích cực nhất xét về số lượng nạn nhân được xác nhận trên trang web rò rỉ dữ liệu của họ.

Mối đe dọa này đánh dấu một bước tiến đáng kể trong lĩnh vực ransomware, đặc trưng bởi các chiến thuật tinh vi và khả năng toàn diện của nó. LockBit 3.0 không chỉ thể hiện khả năng vượt trội trong việc thích ứng với các biện pháp phòng vệ an ninh mạng đang phát triển mà còn thể hiện mức độ tổ chức và phối hợp cao hơn. Nhóm này sử dụng các thuật toán mã hóa tiên tiến và tận dụng các kỹ thuật kỹ thuật xã hội phức tạp, khiến cho các cuộc tấn công của chúng trở nên đặc biệt khó ngăn chặn.

Trong bài phân tích này, chúng tôi đi sâu vào các đặc điểm và chiến lược chính được LockBit 3.0 sử dụng, trang bị kiến ​​thức cho những người bảo vệ để đối mặt với mối đe dọa mạnh mẽ và luôn thay đổi này. Bằng cách hiểu rõ các sắc thái trong chiến thuật của LockBit 3.0, những người bảo vệ có thể nâng cao khả năng sẵn sàng, phát triển các biện pháp phòng thủ chủ động và góp phần vào khả năng phục hồi chung trước mối đe dọa này.

• LockBit 3.0 là gì ?

LockBit 3.0 đứng đầu trong các mối đe dọa mạng hiện đại. Nó đại diện cho một nhóm ransomware cực kỳ tinh vi đã nổi tiếng nhờ cách tiếp cận chiến lược và phạm vi tiếp cận toàn cầu. Nó đã phát triển thành một thế lực lớn trong bối cảnh mạng, xây dựng dựa trên chiến thuật của những tổ chức tiền nhiệm để trở thành kẻ thống trị trong thế giới tội phạm mạng.

LockBit chiếm 27,93% trong tổng số các cuộc tấn công bằng ransomware đã biết từ tháng 7 năm 2022 đến tháng 6 năm 2023. Con số này nhấn mạnh hiệu suất và hiệu quả vượt trội của nhóm trong việc thực hiện các cuộc tấn công mạng, thể hiện mức độ hoạt động chính xác khiến nhóm này trở nên khác biệt trong lĩnh vực hoạt động mạng độc hại.  

Điều khiến LockBit 3.0 khác biệt so với các đối tác của nó không chỉ đơn thuần là mức độ phổ biến mà còn là sự phát triển về mặt phương pháp của nó. Nhóm liên tục cải tiến các chiến thuật của mình, kết hợp các công nghệ tiên tiến và thích ứng với bối cảnh an ninh mạng luôn thay đổi. Sự nhanh nhẹn này đã cho phép LockBit 3.0 vượt trội hơn các cơ chế phòng thủ truyền thống, đặt ra thách thức dai dẳng cho các tổ chức thuộc mọi quy mô.

Hơn nữa, phạm vi địa lý hoạt động của LockBit 3.0 rất đáng chú ý. Nhóm thể hiện phạm vi tiếp cận toàn cầu thực sự, với các sự cố được báo cáo trải rộng trên nhiều ngành và khu vực khác nhau. Khả năng tác động quốc tế này nhấn mạnh sự cần thiết phải có phản ứng hợp tác và phối hợp toàn cầu để chống lại mối đe dọa nhiều mặt do LockBit 3.0 gây ra.

• Sự phát triển của LockBit.

Hành trình của LockBit được đánh dấu bằng sự phát triển không ngừng nghỉ, biến nó thành một thế lực mạnh mẽ trong lĩnh vực ransomware. Nguồn gốc của nó có thể bắt nguồn từ tháng 9 năm 2019, khi những dấu hiệu hoạt động đầu tiên dưới biểu ngữ ransomware ABCD, tiền thân của LockBit, được quan sát thấy. Sự bắt đầu này đã đặt nền móng cho những gì sau này trở thành một loạt các mối đe dọa mạng tinh vi và có tác động mạnh mẽ.

Dòng thời gian sau đây dựa trên thông tin được Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng (CISA) thu thập :

Các phiên bản của LockBit đều nhắm vào các mục tiêu Windows như sau:

• LockBit
• LockBit 2.0
• LockBit 3.0 (LockBit Black)
• Từ năm 2023, hai phiên bản mới đã được xác định: 
  • LockBit Green (Dựa trên ransomware Conti).
  • LockBit Red (Dựa trên LockBit 2.0).

Các cập nhật đáng chú ý:

• LockBit sang LockBit 2.0:
  • Xoá “Shadow copy” bằng vssadmin
  • Bỏ qua Kiểm soát Tài khoản Người dùng – Bypass UAC (User Account Control)
  • In thông báo tống tiền qua máy in
  • Tự lây nhiễm
• LockBit 2.0 sang LockBit 3.0:
  • Thực hiện logic của phần mềm độc hại BlackMatter Ransomware
    • Xóa bản sao Shadow thông qua Windows Management Instrumentation (WMI)
    • Bảo vệ bằng mật khẩu
    • Duy trì thông qua Dịch vụ Hệ thống
    • Thu thập API
    • In thông báo chuộc tiền dưới dạng hình nền Desktop

Nhóm ransomware LockBit đã đầu tư mạnh vào việc phát triển công cụ riêng của mình, điều này được thể hiện rõ ràng qua việc thường xuyên cập nhật phiên bản cũng như tạo ra công cụ lấy dữ liệu riêng StealBit.

LockBit cũng mở rộng thị trường bằng cách bổ sung hệ điều hành mục tiêu như LockBit Linux/ESXi nhắm đến máy chạy Linux. Một biến thể MacOS X cũng được phát hành vào tháng 4/2023.

Nhóm này nổi tiếng với chương trình khuyến khích báo lỗi nhằm “nâng cao” hoạt động của nhóm ransomware..

Mỗi giai đoạn phát triển của LockBit đều đưa ra những mức độ phức tạp mới và khả năng nâng cao. Nó nêu bật cam kết của nhóm trong việc đa dạng hóa chiến thuật của mình và nhấn mạnh sự cần thiết của những người bảo vệ phải luôn cảnh giác với câu chuyện liên tục diễn ra về quá trình phát triển của LockBit.

• Phân tích chiến thuật.

LockBit 3.0, còn được gọi là “LockBit Black”, có tính mô-đun và tính ẩn danh cao hơn các phiên bản trước đó và có những điểm tương đồng với phần mềm tống tiền Blackmatter và Blackcat. LockBit 3.0 được cấu hình khi biên dịch với nhiều tùy chọn khác nhau để xác định hành vi của ransomware. Khi thực thi ransomware thực tế trong môi trường nạn nhân, nhiều đối số khác nhau có thể được đưa ra để sửa đổi thêm hành vi của ransomware. 

Ví dụ: LockBit 3.0 chấp nhận các đối số bổ sung cho các hoạt động cụ thể trong phase Lateral Movement và khởi động lại – Reboot vào Chế độ an toàn – Safe Mode (xem các tham số LockBit Command Line trong Chỉ báo thỏa hiệp – Indicators of Compromise). Nếu đơn vị liên kết của LockBit không có quyền truy cập vào phần mềm ransomware LockBit 3.0 không mật khẩu thì bắt buộc phải có đối số mật khẩu trong quá trình thực thi phần mềm ransomware. Các chi nhánh của LockBit 3.0 không nhập đúng mật khẩu sẽ không thể thực thi ransomware [T1480.001]. Mật khẩu là khóa giải mã tệp thực thi LockBit 3.0. Bảo vệ mã nguồn theo cách này, LockBit 3.0 cản trở phát hiện và phân tích malware khi mã nguồn ở dạng mã hóa và không thể thực thi hay đọc. Phát hiện dựa trên chữ ký có thể không phát hiện được tệp thực thi LockBit 3.0 khi phần mã hóa của nó thay đổi dựa trên khóa mã hóa sử dụng trong khi tạo ra một định danh duy nhất. Khi cung cấp đúng mật khẩu, LockBit 3.0 sẽ giải mã thành phần chính, tiếp tục giải mã hoặc giải nén mã và thực thi ransomware.

LockBit 3.0 chỉ tấn công vào các máy tính không có ngôn ngữ cài đặt khớp với danh sách loại trừ. Tuy nhiên, việc kiểm tra ngôn ngữ hệ thống trong quá trình chạy được quyết định thông qua một cờ cấu hình được thiết lập lúc biên dịch. Các ngôn ngữ được loại trừ bao gồm Romanian (Moldova), Arabic (Syria), và Tatar (Russia), nếu phát hiện một trong số này, LockBit 3.0 sẽ dừng thực thi mà không lây nhiễm vào hệ thống

MITRE ATT&CK TECHNIQUES

1. INITIAL ACCESS

2. EXECUTION

3. PERSISTENCE

4. PRIVILEGE ESCALATION

5. DEFENSE EVASION

6. CREDENTIAL ACCESS

7. DISCOVERY

8. LATERAL MOVEMENT

9. COMMAND & CONTROL

10. EXFILTRATION

11. IMPACT

12. Tools

Nguồn tham khảo : CISA & CyberReason