Hva er LockBit 3.0 Ransomware? Hva skal man gjøre for å forhindre det?

Tyveri, utpressing og etterligning er utbredt på nettet, med tusenvis av mennesker som blir ofre for ulike svindel og angrep hver måned. En slik angrepsmetode bruker en type løsepengeprogram kalt LockBit 3.0. Så hvor kommer denne løsepengevaren fra, hvordan brukes den, og hva kan du gjøre for å beskytte deg selv?

Hvor kommer LockBit 3.0 fra?

LockBit 3.0

LockBit 3.0 (også kjent som LockBit Black) er en familie av løsepengeprogrammer født fra LockBit løsepenge-familien. Dette er en gruppe løsepengeprogrammer som først ble oppdaget i september 2019, etter at den første bølgen av angrep fant sted. Opprinnelig ble LockBit kalt ".abcd-virus", men på det tidspunktet var det ikke kjent at LockBits skapere og brukere ville fortsette å lage nye versjoner av det originale løsepengeprogrammet.

LockBits løsepenge-familie sprer seg selv, men bare visse ofre er målrettet – hovedsakelig de som har råd til å betale en stor løsepenge. De som bruker LockBit løsepengevare kjøper ofte Remote Desktop Protocol (RDP)-tilgang på det mørke nettet slik at de kan få tilgang til ofrenes enheter mer eksternt og enkelt.

LockBits operatører har målrettet mot flere organisasjoner rundt om i verden siden den ble brukt første gang, inkludert Storbritannia, USA, Ukraina og Frankrike. Denne familien av ondsinnede programmer bruker en Ransomware-as-a-Service (RaaS)-modell, der brukere kan betale operatører for å få tilgang til en bestemt type løsepengevare. Dette innebærer vanligvis en eller annen form for registrering. Noen ganger kan brukere til og med sjekke statistikken for å se om bruken av LockBit løsepengevare var vellykket eller ikke.

Det var ikke før i 2021 at LockBit ble en populær løsepengevare, gjennom LockBit 2.0 (forgjengeren til den nåværende løsepengevarestammen). På dette tidspunktet bestemte gjengene som brukte denne løsepengevaren seg for å ta i bruk en dobbel utpressingsmodell. Dette innebærer både kryptering og eksfiltrering (eller overføring) av offerets filer til en annen enhet. Denne ekstra angrepsmetoden gjør hele situasjonen mer skummel for den målrettede personen eller organisasjonen.

Den siste typen LockBit løsepengevare som er identifisert er LockBit 3.0. Så hvordan fungerer LockBit 3.0 og hvordan brukes det i dag?

Hva er LockBit 3.0?

LockBit 3.0 kan kryptere og eksfiltrere alle filer på den infiserte enheten

På slutten av våren 2022 ble en ny versjon av LockBit ransomware-gruppen oppdaget: LockBit 3.0. Som et løsepengeprogram kan LockBit 3.0 kryptere og eksfiltrere alle filer på en infisert enhet, slik at angripere kan holde offerets data som gisler til den forespurte løsepengen er betalt. Denne løsepengevaren kjører for tiden frodig og skaper mye bekymring.

Flyten til et typisk LockBit 3.0-angrep er:

1. LockBit 3.0 infiserer offerets enhet, krypterer filer og legger ved den krypterte filtypen "HLjkNskOq".

2. Deretter trengs en kommandolinje-argumentnøkkel kalt "-pass" for å utføre kryptering.

3. LockBit 3.0 lager mange forskjellige tråder for å utføre flere oppgaver samtidig, slik at datakryptering kan fullføres på kortere tid.

4. LockBit 3.0 fjerner visse tjenester eller funksjoner for å gjøre krypterings- og filtreringsprosessen mye enklere.

5. En API brukes til å inneholde tjenestekontrolladministratorens databasetilgang.

6. Offerets databakgrunn endres slik at de vet at de blir angrepet.

Hvis ofrene ikke betaler løsepengene innen den tillatte tidsperioden, vil LockBit 3.0-angripere selge dataene de stjal på det mørke nettet til andre nettkriminelle. Dette kan være katastrofalt for både offeret og organisasjonen.

I skrivende stund utnytter LockBit 3.0 spesielt Windows Defender for å distribuere Cobalt Strike . Denne programvaren kan også forårsake en kjede av malware-infeksjoner på tvers av flere enheter.

Under denne prosessen blir MpCmdRun.exe-kommandolinjeverktøyet utnyttet slik at angriperen kan dekryptere og starte advarsler. Dette gjøres ved å lure systemet til å prioritere og laste inn en ondsinnet DLL (Dynamic-Link Library).

Den kjørbare filen MpCmdRun.exe brukes av Windows Defender for å skanne etter skadelig programvare, og dermed beskytte enheten mot skadelige filer og programmer. Cobalt Strike kan omgå Windows Defender sikkerhetstiltak, så det har blitt veldig nyttig for løsepengeangripere.

Denne teknikken er også kjent som sideloading og lar dårlige skuespillere stjele data fra infiserte enheter.

Hvordan forhindre LockBit 3.0 løsepengeprogramvare?

LockBit 3.0 er en økende bekymring, spesielt blant store organisasjoner med mye data som kan krypteres og eksfiltreres. Det er viktig å sikre at du unngår denne typen farlige angrep.

For å gjøre dette, bør du først sørge for at du bruker supersterke passord og tofaktorautentisering på tvers av alle kontoene dine. Dette ekstra sikkerhetslaget kan gjøre det vanskeligere for nettkriminelle å angripe deg med løsepengeprogramvare. Vurder for eksempel ransomware-angrep fra Remote Desktop Protocol. I et slikt tilfelle vil angriperen skanne Internett for sårbare RDP-forbindelser. Så hvis tilkoblingen din er passordbeskyttet og bruker 2FA, er det mye mindre sannsynlig at du blir målrettet.

I tillegg bør du alltid holde operativsystemet og antivirusprogrammet på enheten oppdatert. Programvareoppdateringer kan være tidkrevende og irriterende, men det er en grunn til at de eksisterer. Slike oppdateringer kommer ofte med feilrettinger og ekstra sikkerhetsfunksjoner for å holde enheten og dataene dine beskyttet, så ikke gå glipp av muligheten til å oppdatere enheten.

Et annet viktig tiltak for å unngå ransomware-angrep er å sikkerhetskopiere filer. Noen ganger vil ransomware-angripere holde tilbake viktig informasjon som du trenger av ulike årsaker, så å ha en sikkerhetskopi vil redusere skaden til en viss grad. Frakoblede kopier, som de som er lagret på USB-pinner, kan være uvurderlige når data blir stjålet eller slettet fra enheten din.

Tiltak etter å ha blitt infisert med løsepengevare

Selv om forslagene ovenfor kan beskytte deg mot LockBit-ransomware, er det fortsatt mulig å infisere. Så hvis du oppdager at datamaskinen din har blitt infisert med LockBit 3.0-viruset, er det viktig å ikke handle forhastet. Det er trinn du kan ta for å fjerne løsepengevare fra enheten din, som du bør følge nøye.

Du bør også varsle myndighetene hvis du er utsatt for et løsepengeangrep. Dette hjelper interessenter bedre å forstå og adressere visse typer løsepengevare.

Ingen vet hvor mange ganger LockBit 3.0 løsepengevare vil bli brukt til å true og utnytte ofre. Dette er grunnen til at det er viktig å beskytte enhetene og kontoene dine på alle mulige måter slik at sensitive data forblir trygge.