Lockbit Piergiorgio Venuti

Introduzione a Lockbit e all’IOC (Indicator of Compromise)

Estimated reading time: 9 minuti

Lockbit è un malware noto che si diffonde attraverso l’uso di exploit kit e phishing. Questo malware viene utilizzato principalmente per eseguire attacchi ransomware, che consistono nel cifrare i dati degli utenti e richiedere un riscatto per decifrarli. Lockbit è stato identificato per la prima volta all’inizio del 2020 e da allora ha continuato a evolversi e a diffondersi a livello globale.

Un Indicator of Compromise (IOC) è un segnale o una traccia che indica che un sistema è stato compromesso da un malware come Lockbit. Gli IOC possono essere informazioni sulle attività di rete, sui file sul disco rigido o sull’uso del registro di sistema.

Versioni di Lockbit

Dall’identificazione di Lockbit, sono state rilasciate diverse versioni del malware, ciascuna con nuove funzionalità e miglioramenti. Ecco una breve descrizione delle principali versioni di Lockbit:

  • Lockbit v1: questa è stata la prima versione di Lockbit identificata. Questa versione del malware utilizzava exploit kit per diffondersi e cifrare i file degli utenti;
  • Lockbit v2: questa versione ha introdotto la capacità di eseguire attacchi di phishing per diffondere il malware. Inoltre, questa versione del malware è stata ottimizzata per evitare la rilevazione da parte dei software antivirus;
  • Lockbit v3: questa versione ha introdotto nuove tecniche di evasione e nuove capacità di attacco, tra cui la capacità di diffondersi tramite e-mail di phishing e la capacità di cifrare anche i backup dei dati;
  • Lockbit v4: questa è la versione più recente di Lockbit e include tutte le funzionalità delle versioni precedenti, oltre a nuove tecniche di attacco e di diffusione.

Indicatori di compromissione di Lockbit

Lockbit ransomware

Gli indicatori di compromissione (IOC) di Lockbit possono aiutare i professionisti della sicurezza informatica a identificare rapidamente la presenza del malware e prendere le misure necessarie per rimuoverlo. Ecco alcuni dei principali IOC di Lockbit:

  • Modifiche al registro di sistema: Lockbit modifica spesso il registro di sistema per evitare la rilevazione da parte dei software antivirus e facilitare la diffusione del malware.
  • File cifrati: uno dei principali segni della presenza di Lockbit è la presenza di file cifrati sul sistema compromesso. Questi file hanno estensioni modificate e sono inaccessibili a causa della cifratura.
  • File di riscatto: Lockbit lascia spesso un file di riscatto sul sistema compromesso, che spiega come decifrare i file cifrati e richiede un pagamento in cambio della decifratura.
  • Attività di rete anomale: Lockbit comunica spesso con server remoti per ottenere istruzioni o trasmettere informazioni sul sistema compromesso. Queste attività di rete possono essere identificate come anomale dai professionisti della sicurezza informatica.
  • File di installazione del malware: Lockbit viene spesso distribuito insieme a file di installazione del malware, che possono essere rilevati dai software antivirus.

Come proteggersi da Lockbit

Per proteggersi da Lockbit e da altri malware simili, è importante seguire alcune semplici misure di sicurezza:

  • Mantenere il software antivirus aggiornato: utilizzare un software antivirus aggiornato è essenziale per proteggere il sistema da Lockbit e da altri malware.
  • Fare attenzione alle e-mail di phishing: Lockbit viene spesso diffuso tramite e-mail di phishing. Fare attenzione alle e-mail sospette e non aprire allegati o link da fonti sconosciute.
  • Mantenere i software di sistema e le applicazioni aggiornate: le vulnerabilità del software sono spesso sfruttate da malware come Lockbit. Mantenere il software di sistema e le applicazioni aggiornate può aiutare a prevenire gli attacchi.
  • Eseguire backup regolari: eseguire backup regolari dei dati può aiutare a recuperare i file in caso di attacco da parte di Lockbit o di altri malware.

Modifiche alle chiavi di registro da parte di Lockbit

Le chiavi di registro possono essere modificate da Lockbit per permettergli di persistere sul sistema e lanciarsi all’avvio del sistema. Ecco alcune delle modifiche alle chiavi di registro che possono essere causate da Lockbit:

  • Chiave di avvio: Lockbit può aggiungere una chiave di avvio al registro di sistema per lanciarsi all’avvio del sistema. La chiave di avvio originaria può essere:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

mentre la chiave di avvio modificata da Lockbit può essere:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Lockbit
  • Chiave di disinstallazione: Lockbit può anche modificare la chiave di disinstallazione per impedire che venga disinstallato o rimosso. La chiave di disinstallazione originaria può essere:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall

mentre la chiave di disinstallazione modificata da Lockbit può essere:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Lockbit

È importante notare che queste sono solo alcune delle possibili modifiche alle chiavi di registro che possono essere causate da Lockbit. Per identificare tutte le modifiche, è consigliabile eseguire un’analisi del registro di sistema completa.

Inoltre, è fondamentale effettuare un backup del registro di sistema prima di apportare eventuali modifiche, in modo da poter ripristinare eventuali valori originali in caso di errore.

Come un Servizio SOCaaS può aiutare ad identificare e rispondere a Lockbit

Un Servizio di Sicurezza Operativa su Cloud (SOCaaS) può essere un alleato prezioso nella lotta contro gli attacchi Ransomware come Lockbit. Questo servizio fornisce una soluzione completa per la gestione della sicurezza informatica, compreso l’identificazione, la risposta e la prevenzione degli attacchi. Ecco come un SOCaaS può aiutare a gestire un attacco Lockbit:

  • Identificazione precoce: Un SOCaaS utilizza tecnologie avanzate come l’Intelligence Artificiale e il Machine Learning per rilevare attività sospette sulle reti aziendali. Questo permette di identificare gli attacchi Lockbit in modo tempestivo, prima che il ransomware abbia la possibilità di crittografare i file e causare danni irreparabili.
  • Analisi della minaccia: Una volta identificato l’attacco Lockbit, un SOCaaS può analizzare la minaccia per determinare la sua origine, la sua diffusione e la sua intensità. Questo aiuta a determinare la gravità dell’attacco e a sviluppare un piano di risposta adeguato.
  • Risposta coordinata: Un SOCaaS fornisce un’equipe di esperti di sicurezza informatica che lavorano insieme per rispondere rapidamente agli attacchi Lockbit. Questi esperti utilizzano tecniche avanzate per mitigare la minaccia, ripristinare i file crittografati e proteggere la rete aziendale da eventuali future minacce.
  • Prevenzione futura: Una volta che l’attacco Lockbit è stato gestito, un SOCaaS può aiutare a prevenire futuri attacchi simili. Questo può essere fatto tramite la formazione dei dipendenti, la revisione e il miglioramento delle politiche di sicurezza, l’implementazione di tecnologie avanzate come l’Intelligence Artificiale e il Machine Learning, e l’effettuazione di test di penetrazione per identificare eventuali vulnerabilità.

In sintesi, un Servizio SOCaaS può aiutare a identificare e gestire gli attacchi Lockbit in modo tempestivo e coordinato, fornendo una soluzione completa per la sicurezza informatica dell’azienda.

Come un Servizio SOC con EDR può aiutare ad identificare e rispondere a Lockbit

Un Servizio di Sicurezza Operativa (SOC) con Endpoint Detection and Response (EDR) può essere una soluzione potente per la gestione degli attacchi Ransomware come Lockbit. L’EDR fornisce una protezione avanzata degli endpoint, ovvero i dispositivi utilizzati da dipendenti e clienti per accedere alla rete aziendale. Ecco come un SOC con EDR può aiutare a gestire un attacco Lockbit:

  • Protezione degli endpoint: L’EDR monitora costantemente gli endpoint per rilevare eventuali attività sospette o minacce. In caso di rilevamento di un attacco Lockbit, l’EDR blocca immediatamente la minaccia, impedendo al ransomware di diffondersi ulteriormente nella rete aziendale.
  • Analisi dettagliata: L’EDR fornisce informazioni dettagliate sull’attacco Lockbit, inclusi l’origine, la diffusione e la gravità della minaccia. Queste informazioni aiutano a sviluppare un piano di risposta adeguato e a determinare la necessità di eventuali ulteriori misure di sicurezza.
  • Risposta rapida: In caso di attacco Lockbit, l’EDR fornisce una risposta rapida, utilizzando tecniche avanzate per mitigare la minaccia e proteggere gli endpoint dai danni. Questo aiuta a limitare i danni causati dal ransomware e a ripristinare il più rapidamente possibile i file crittografati.
  • Prevenzione futura: Una volta che l’attacco Lockbit è stato gestito, l’EDR fornisce una protezione continua per prevenire futuri attacchi simili. Questo può essere fatto tramite la formazione dei dipendenti, l’implementazione di politiche di sicurezza rigorose e l’utilizzo di tecnologie avanzate per identificare e prevenire eventuali minacce.

In sintesi, un Servizio SOC con EDR può aiutare a identificare e gestire gli attacchi Lockbit, fornendo una protezione avanzata per gli endpoint e una risposta rapida in caso di attacco. Questo aiuta a proteggere la rete aziendale e a prevenire futuri danni causati da ransomware come Lockbit.

Come un Servizio di Penetration Testing può aiutare ad identificare e rispondere a Lockbit

Un servizio di Penetration Testing può essere una soluzione efficace per identificare e rispondere a un attacco Ransomware come Lockbit. Questo servizio consiste nell’eseguire una simulazione di un attacco informatico sulla rete aziendale, al fine di identificare eventuali vulnerabilità che potrebbero essere sfruttate da un hacker o da un ransomware come Lockbit. Ecco come un servizio di Penetration Testing può aiutare a gestire questi tipo di problema

  • Identificazione delle vulnerabilità: Il servizio di Penetration Testing identifica eventuali vulnerabilità presenti nella rete aziendale, che potrebbero essere sfruttate da un ransomware. Questo aiuta a prevenire futuri attacchi e a proteggere la rete aziendale.
  • Verifica della sicurezza: Il servizio di Penetration Testing verifica l’efficacia delle soluzioni di sicurezza già in essere, al fine di garantire che siano adeguate a proteggere la rete aziendale da eventuali attacchi. In caso contrario, vengono identificate eventuali soluzioni da implementare per aumentare la sicurezza della rete.
  • Valutazione del rischio: Il servizio di Penetration Testing valuta il rischio potenziale per la rete aziendale in caso di attacco, al fine di determinare la necessità di eventuali misure di sicurezza supplementari.
  • Formazione del personale: Il servizio di Penetration Testing include anche la formazione del personale, al fine di garantire che tutti i dipendenti siano consapevoli delle minacce informatiche e sappiano come prevenirle. Questo aiuta a proteggere la rete aziendale da eventuali attacchi futuri.

In sintesi, un servizio di Penetration Testing può aiutare a identificare e gestire gli attacchi Lockbit, fornendo una valutazione del rischio e delle soluzioni di sicurezza già in essere, al fine di proteggere la rete aziendale da eventuali attacchi futuri. Questo servizio aiuta anche a formare il personale per prevenire futuri attacchi e a garantire la sicurezza della rete aziendale.

Rapporto FBI sugli Indicatori di Compromissione di Lockbit

Il Federal Bureau of Investigation (FBI) ha pubblicato un rapporto sugli Indicatori di Compromissione (IOC) di Lockbit, un ransomware che sta causando danni a molte aziende. Il rapporto fornisce informazioni dettagliate su come identificare se la tua azienda è stata attaccata da Lockbit e su come gestire l’attacco. Ecco alcune informazioni cruciali presenti nel rapporto FBI sugli IOC di Lockbit:

  • Identificazione dei file cifrati: Il rapporto descrive come identificare i file cifrati da Lockbit, che sono solitamente contraddistinti da un’estensione specifica, ad esempio .lockbit.
  • Modifiche alle chiavi di registro: Il rapporto descrive come il ransomware modifica le chiavi di registro del sistema operativo, al fine di impedire l’avvio di alcune applicazioni. Il rapporto fornisce informazioni dettagliate sui valori originari e quelli modificati dal ransomware.
  • Comportamento di rete: Il rapporto descrive il comportamento di rete di Lockbit, che include la comunicazione con un server C&C (Command & Control) per la trasmissione di informazioni sulle vittime e la ricezione di istruzioni da parte del malware.
  • Strumenti di rimozione: Il rapporto descrive gli strumenti di rimozione disponibili per gestire un’infezione da Lockbit, al fine di recuperare i file cifrati e ripristinare il sistema operativo.

In sintesi, il rapporto FBI sugli IOC di Lockbit fornisce informazioni cruciali per identificare e gestire un attacco da parte di questo pericoloso ransomware. Queste informazioni possono essere utilizzate dalle aziende per prevenire futuri attacchi e proteggere la loro rete aziendale.

Conclusioni

Lockbit è un malware noto che si diffonde attraverso exploit kit e phishing. Gli indicatori di compromissione possono aiutare i professionisti della sicurezza informatica a identificare la presenza del malware e prendere le misure necessarie per rimuoverlo. Per proteggersi da Lockbit e da altri malware simili, è importante seguire semplici misure di sicurezza come mantenere il software antivirus aggiornato, fare attenzione alle e-mail di phishing e eseguire backup regolari dei dati.

Useful links:

Condividi


RSS

Piu’ articoli…

Categorie …

Tags

RSS CSIRT

RSS darkreading

RSS Full Disclosure

  • Business Logic Flaw and Username Enumeration in spa-cartcmsv1.9.0.6 Giugno 16, 2024
    Posted by Andrey Stoykov on Jun 15# Exploit Title: Business Logic Flaw and Username Enumeration in spa-cartcmsv1.9.0.6 # Date: 6/2024 # Exploit Author: Andrey Stoykov # Version: 1.9.0.6 # Tested on: Ubuntu 22.04 # Blog: https://msecureltd.blogspot.com/2024/04/friday-fun-pentest-series-5-spa.html Description - It was found that the application suffers from business logic flaw - Additionally the application is vulnerable […]
  • APPLE-SA-06-10-2024-1 visionOS 1.2 Giugno 12, 2024
    Posted by Apple Product Security via Fulldisclosure on Jun 11APPLE-SA-06-10-2024-1 visionOS 1.2 visionOS 1.2 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT214108. Apple maintains a Security Releases page at https://support.apple.com/HT201222 which lists recent software updates with security advisories. CoreMedia Available for: Apple Vision Pro Impact: An app may be […]
  • CyberDanube Security Research 20240604-0 | Multiple Vulnerabilities in utnserver Pro/ProMAX/INU-100 Giugno 9, 2024
    Posted by Thomas Weber via Fulldisclosure on Jun 09CyberDanube Security Research 20240604-0 ------------------------------------------------------------------------------- title| Multiple Vulnerabilities product| SEH utnserver Pro/ProMAX / INU-100 vulnerable version| 20.1.22 fixed version| 20.1.28 CVE number| CVE-2024-5420, CVE-2024-5421, CVE-2024-5422 impact| High homepage| https://www.seh-technology.com/...
  • SEC Consult SA-20240606-0 :: Multiple critical vulnerabilities in Kiuwan SAST on-premise (KOP) & cloud/SaaS & Kiuwan Local Analyzer (KLA) Giugno 9, 2024
    Posted by SEC Consult Vulnerability Lab via Fulldisclosure on Jun 09SEC Consult Vulnerability Lab Security Advisory < 20240606-0 > ======================================================================= title: Multiple critical vulnerabilities product: Kiuwan SAST on-premise (KOP) & cloud/SaaS Kiuwan Local Analyzer (KLA) vulnerable version: Kiuwan SAST
  • Blind SQL Injection - fengofficev3.11.1.2 Giugno 9, 2024
    Posted by Andrey Stoykov on Jun 09# Exploit Title: FengOffice - Blind SQL Injection # Date: 06/2024 # Exploit Author: Andrey Stoykov # Version: 3.11.1.2 # Tested on: Ubuntu 22.04 # Blog: https://msecureltd.blogspot.com/2024/05/friday-fun-pentest-series-6.html Steps to Reproduce: 1. Login to application 2. Click on "Workspaces" 3. Copy full URL 4. Paste the HTTP GET request into […]
  • Trojan.Win32.DarkGateLoader (multi variants) / Arbitrary Code Execution Giugno 9, 2024
    Posted by malvuln on Jun 09Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2024 Original source: https://malvuln.com/advisory/afe012ed0d96abfe869b9e26ea375824.txt Contact: malvuln13 () gmail com Media: x.com/malvuln Threat: Trojan.Win32.DarkGateLoader (multi variants) Vulnerability: Arbitrary Code Execution Description: Multiple variants of this malware look for and execute x32-bit "urlmon.dll" PE file in its current directory. Therefore, we can...
  • SQL Injection Vulnerability in Boelter Blue System Management (version 1.3) Giugno 9, 2024
    Posted by InfoSec-DB via Fulldisclosure on Jun 09Exploit Title: SQL Injection Vulnerability in Boelter Blue System Management (version 1.3) Google Dork: inurl:"Powered by Boelter Blue" Date: 2024-06-04 Exploit Author: CBKB (DeadlyData, R4d1x) Vendor Homepage: https://www.boelterblue.com Software Link: https://play.google.com/store/apps/details?id=com.anchor5digital.anchor5adminapp&hl=en_US Version: 1.3 Tested on: Linux Debian 9 (stretch), Apache 2.4.25, MySQL >= 5.0.12 CVE:...
  • CyberDanube Security Research 20240528-0 | Multiple Vulnerabilities in ORing IAP-420 Maggio 30, 2024
    Posted by Thomas Weber via Fulldisclosure on May 29CyberDanube Security Research 20240528-0 ------------------------------------------------------------------------------- title| Multiple Vulnerabilities product| ORing IAP-420 vulnerable version| 2.01e fixed version| - CVE number| CVE-2024-5410, CVE-2024-5411 impact| High homepage| https://oringnet.com/ found| 2024-01-19 by| T. Weber...
  • HNS-2024-06 - HN Security Advisory - Multiple vulnerabilities in Eclipse ThreadX Maggio 30, 2024
    Posted by Marco Ivaldi on May 29Hi, Please find attached a security advisory that describes multiple vulnerabilities we discovered in Eclipse ThreadX (aka Azure RTOS). * Title: Multiple vulnerabilities in Eclipse ThreadX * OS: Eclipse ThreadX < 6.4.0 * Author: Marco Ivaldi * Date: 2024-05-28 * CVE IDs and severity: * CVE-2024-2214 - High - […]
  • SEC Consult SA-20240527-0 :: Multiple vulnerabilities in HAWKI didactic interface Maggio 28, 2024
    Posted by SEC Consult Vulnerability Lab via Fulldisclosure on May 27 SEC Consult Vulnerability Lab Security Advisory < 20240527-0 > ======================================================================= title: Multiple vulnerabilities product: HAWKI (Interaction Design Team at the University of Applied Sciences and Arts in Hildesheim/Germany) vulnerable version: 1.0.0-beta.1, versions before commit 146967f     fixed version: Github commit 146967f...

Customers

Newsletter

{subscription_form_2}