研究人员表示，LockBit勒索软件即服务(RaaS)团伙加大了针对性攻击力度，试图使用其恶意软件的2.0版针对智利、意大利、台湾和英国的公司。
根据趋势科技周一发布的分析，7月和8月的攻击使用了LockBit 2.0，其特点是增强了加密方法。
据报道：“与LockBit在2019年的攻击和功能相比，该版本包括通过滥用Active Directory(AD)组策略跨Windows域自动加密设备，促使其背后的组织声称它是当今市场上最快的勒索软件变种之一。”“LockBit 2.0以拥有当今勒索软件威胁环境中最快、最有效的加密方法之一而出名。我们的分析表明，虽然它在加密中使用了多线程方法，但它也只对文件进行了部分加密，因为每个文件只加密了4KB的数据。”
趋势科技指出，这些攻击还包括从目标公司内部招募内部人员。恶意软件感染程序的最后一步是将受害者的电脑壁纸更改为有效的广告，其中包括有关组织内部人员如何参与“附属招募”的部分信息，并保证支付数百万美元和承诺匿名，以换取凭据和访问权限。
研究人员表示，新一波攻击正在采用这种策略，“似乎是为了消除(其他威胁行为者群体的)中间人，并通过提供有效凭据和访问公司网络来实现更快的攻击”。
值得注意的是，LockBit也是最近埃森哲网络攻击事件背后的罪魁祸首。
LockBit 2.0感染程序
为了对目标公司网络进行初始访问，LockBit团伙招募了上述成员和助手，他们通常通过有效的远程桌面协议(RDP)帐户凭据对目标进行实际入侵。为了帮助实现这一目标，LockBit的创建者为他们的合作伙伴提供了一个方便的StealBit特洛伊木马变种，这是一种用于建立访问权限和自动泄露数据的工具。
该报告指出，一旦进入系统，LockBit 2.0就会使用一整套工具来进行侦查。Network Scanner会评估网络结构并识别目标域控制器。它使用多个批处理文件从而达到不同目的，其中包括终止安全工具、启用RDP连接、清除Windows事件日志以及确保关键进程(例如Microsoft Exchange、MySQL和QuickBooks)不可用。它还会停止Microsoft Exchange并禁用其他相关服务。
但这还不是全部：“LockBit 2.0还滥用Process Hacker和PC Hunter等合法工具来终止受害系统中的进程和服务。”
在第一阶段结束之后，就开始进行横向运动了。
趋势科技研究人员解释说：“一旦进入域控制器，勒索软件就会创建新的组策略并将它们发送到网络上的每台设备。”“这些策略禁用Windows Defender，并将勒索软件二进制文件分发和执行到每台Windows计算机。”
这个主要的勒索软件模块继续向每个加密文件添加“.lockbit”后缀。然后，它会在每个加密目录中放一张赎金便条，威胁双重勒索。便条一般会告诉受害者，文件被加密了，如果他们不付款，就把他们公开发布。
LockBit 2.0的最后一步是将受害者的桌面壁纸更改为上述招聘广告，其中还包括有关受害者如何支付赎金的说明。
LockBit的持续进化
趋势科技一直在跟踪LockBit，并指出其运营商最初与去年10月关闭的Maze勒索软件组织合作。
Maze是双重勒索策略的先驱，于2019年11月首次出现。它发起了持续不断的攻击活动，例如对Cognizant的攻击。2020年夏天，它成立了一个网络犯罪“卡特尔”——与各种勒索软件(包括Egregor)联手，并共享代码、想法和资源。
研究人员解释说：“在Maze关闭后，LockBit团伙继续使用自己的泄漏站点，这导致了LockBit的发展。”“以前的版本显示了已有的勒索软件的特征，它使用了加密文件、窃取数据和在未支付赎金时泄露被盗数据的双重勒索技术。”
现在的LockBit 2.0似乎是受到了Ryuk和Egregor的影响，这可能是由于共享代码DNA。趋势科技指出的两个显著的例子是：
- 受Ryuk勒索软件启发的LAN唤醒功能，发送Magic Packet“0xFF 0xFF 0xFF 0xFF 0xFF 0xFF”以唤醒离线设备。
- 在受害者的网络打印机上打印勒索信，类似于Egregor使用的引起受害者注意力的方式。它使用Winspool API在连接的打印机上枚举和打印文档。
趋势科技研究人员总结道：“我们……推测这个团体将在很长一段时间内继续保持活跃状态，特别是因为现在它正在广泛招募成员和组织内部人员，使其更有能力感染许多公司和行业。”“同时，为LockBit 2.0的升级和进一步开发做好准备也是明智之举，特别是现在许多公司都了解了它的功能及其工作原理。”
如何保护组织免受勒索软件的侵害
以下是互联网安全中心和美国国家标准与技术研究所推荐预防LockBit 2.0和其他恶意软件感染的最佳做法：
- 审计和盘存：对组织的所有资产和数据进行审计，识别出经过授权和未经授权的设备、软件以及仅特定人员可访问的系统。审计和监控所有重大事件和突发状况的日志，从而识别一场模式或行为。
- 配置和监视：注意管理硬件和软件配置，仅在绝对必要时向特定人员授予管理权限和访问权限。监控监视网络端口、协议和服务的使用。在网络基础设施设备(如防火墙和路由器)上实施安全配置，并具有软件允许列表以防止恶意应用程序被执行。
- 修补程序和更新：定期进行漏洞评估，并对操作系统和应用程序进行定期修补或虚拟修补。确保所有已安装的软件和应用程序都已更新到其最新版本。
- 保护和恢复：实施数据保护、备份和恢复措施。在所有可用的设备和平台中使用多因素身份验证。
- 安全保卫：执行沙盒分析以检查和阻止恶意电子邮件。将最新版本的安全解决方案应用于系统的所有层，包括电子邮件、端点、web和网络。发现攻击的早期迹象，如系统中存在可疑工具，并启用先进的检测技术，如采用人工智能和机器学习的技术。
- 培训和测试：定期对所有人员进行安全技能评估和培训，并进行red-team演习和渗透测试。
本文翻译自：https://threatpost.com/lockbit-ransomware-proliferates-globally/168746/如若转载，请注明原文地址。
