El ransomware sigue siendo una de las amenazas digitales más graves que enfrentan tanto individuos como organizaciones. Las variantes modernas están diseñadas no solo para cifrar archivos, sino también para exfiltrar información confidencial, obligando a las víctimas a pagar grandes sumas de dinero. Mantenerse alerta, mantener una sólida ciberseguridad e implementar defensas multicapa son cruciales en el cambiante panorama de amenazas actual. Uno de los desarrollos recientes más peligrosos en este ámbito es el ransomware LockBit 5.0.
LockBit 5.0: Una variante pulida y potente
LockBit 5.0 es la última evolución de la familia de ransomware LockBit. Se basa directamente en el código base de LockBit 4.0, pero introduce mejoras que dificultan su detección y mitigación. Una vez ejecutado, cifra los archivos en todo el sistema y añade una extensión única y aleatoria de 16 caracteres a cada nombre de archivo. Por ejemplo, un archivo llamado "1.png" se convierte en "1.png.db9785905a3cad2c". Junto con el cifrado, incluye una nota de rescate titulada "ReadMeForDecrypt.txt" en los directorios afectados.
La nota de rescate informa a las víctimas que sus archivos y datos han sido comprometidos. Exige el pago en criptomonedas, generalmente a través de Tor, y advierte que la información robada se filtrará si no se realiza el pago. Se insta a las víctimas a no contactar con las autoridades, ya que los atacantes intentan infundir miedo y urgencia.
Capacidades y tácticas sofisticadas
LockBit 5.0 incorpora mejoras técnicas que demuestran la madurez de los desarrolladores de ransomware:
Personalización para afiliados : la versión de Windows del ransomware ofrece una interfaz más limpia y flexible, que permite a los afiliados seleccionar métodos de cifrado y objetivos.
Técnicas anti-análisis : deshabilita ciertas funciones de rastreo de Windows para dificultar la investigación de malware.
Ataques multiplataforma : además de Windows, LockBit 5.0 incluye variantes peligrosas de Linux y VMware ESXi capaces de cifrar entornos virtualizados completos.
Evitación selectiva : evita sistemas ubicados en Rusia o regiones relacionadas mediante la realización de comprobaciones de geolocalización.
A pesar de presentarse como un lanzamiento importante, LockBit 5.0 reutiliza partes importantes del código de LockBit 4.0, como algoritmos hash y resolución de API dinámica, lo que lo convierte en una actualización incremental pero peligrosa.
Vectores de distribución: cómo se propaga LockBit 5.0
Los operadores de LockBit recurren a diversos métodos de infección para maximizar su alcance. El ransomware se propaga comúnmente a través de:
- Archivos adjuntos de correo electrónico maliciosos o enlaces que se hacen pasar por documentos legítimos.
- Sitios web fraudulentos o comprometidos, incluidos portales de soporte técnico falsos.
- Explotación de vulnerabilidades de software sin parches.
- Campañas de malvertising, software pirateado y generadores de claves ilegales.
- Redes peer-to-peer, descargadores de terceros y tiendas de aplicaciones no verificadas.
Este enfoque multifacético permite a los atacantes atacar tanto a individuos como a sistemas empresariales, lo que aumenta la probabilidad de daños generalizados.
Fortaleciendo su defensa contra el ransomware
La defensa contra ransomware sofisticado como LockBit 5.0 requiere medidas de seguridad proactivas y estratificadas. Los usuarios y las organizaciones deben adoptar una combinación de medidas de seguridad técnicas y prácticas de navegación segura. Algunas de las estrategias más eficaces incluyen:
Mantenga los sistemas actualizados : aplique parches del sistema operativo y del software rápidamente para cerrar vulnerabilidades explotables.
Utilice una protección sólida para endpoints : implemente soluciones antivirus y de detección de endpoints confiables capaces de identificar amenazas avanzadas.
Practique un uso seguro del correo electrónico y de la web : desconfíe de los archivos adjuntos, enlaces y descargas no solicitados de fuentes no verificadas.
Mantenga copias de seguridad sin conexión : almacene archivos críticos en ubicaciones seguras y sin conexión para garantizar la recuperación sin pagar un rescate.
Aplicar acceso con privilegios mínimos : limitar los permisos de los usuarios y segmentar las redes para contener posibles brotes de ransomware.
Habilitar la autenticación multifactor (MFA) : protege las cuentas para que no se vean comprometidas mediante credenciales robadas.
Educar a los usuarios periódicamente : es esencial capacitar al personal y a las personas para que reconozcan los intentos de phishing e ingeniería social.
Reflexiones finales
LockBit 5.0 destaca cómo los grupos de ransomware perfeccionan continuamente sus herramientas para maximizar su impacto. Su capacidad para cifrar entornos completos, evadir el análisis y ejercer presión psicológica sobre las víctimas lo convierte en una amenaza particularmente destructiva. La defensa más fiable es la prevención, que combina tecnología de vanguardia, estrategias de respaldo resilientes y la concienciación del usuario. Al implementar estas medidas de seguridad por capas, los usuarios y las organizaciones reducen significativamente sus probabilidades de ser víctimas de devastadores ataques de ransomware.
System Messages
The following system messages may be associated with Ransomware LockBit 5.0:
~~~ You have been attacked by LockBit 5.0 - the fastest, most stable and immortal ransomware since 2019 ~~~~
>>>>> You must pay us.
Tor Browser link where the stolen infortmation will be published:
-
>>>>> What is the guarantee that we won't scam you?
We are the oldest extortion gang on the planet and nothing is more important to us than our reputation. We are not a politically motivated group and want nothing but financial rewards for our work. If we defraud even one client, other clients will not pay us. In 5 years, not a single client has been left dissatisfied after making a deal with us. If you pay the ransom, we will fulfill all the terms we agreed upon during the negotiation process. Treat this situation simply as a paid training session for your system administrators, because it was the misconfiguration of your corporate network that allowed us to attack you. Our pentesting services should be paid for the same way you pay your system administrators' salaries. You can get more information about us on wikipedia hxxps://en.wikipedia.org/wiki/LockBit
>>>>> Warning! Do not delete or modify encrypted files, it will lead to irreversible problems with decryption of files!
>>>>> Don't go to the police or the FBI for help and don't tell anyone that we attacked you. They will forbid you from paying the ransom and will not help you in any way, you will be left with encrypted files and your business will die.
>>>>> When buying bitcoin, do not tell anyone the true purpose of the purchase. Some brokers, especially in the US, do not allow you to buy bitcoin to pay ransom. Communicate any other reason for the purchase, such as: personal investment in cryptocurrency, bitcoin as a gift, paying to buy assets for your business using bitcoin, cryptocurrency payment for consulting services, cryptocurrency payment for any other services, cryptocurrency donations, cryptocurrency donations for Donald Trump to win the election, buying bitcoin to participate in ICO and buy other cryptocurrencies, buying cryptocurrencies to leave an inheritance for your children, or any other purpose for buying cryptocurrency. Also you can use adequate cryptocurrency brokers who do not ask questions for what you buy cryptocurrency.
>>>>> After buying cryptocurrency from a broker, store the cryptocurrency on a cold wallet, such as https://electrum.org/ or any other cold cryptocurrency wallet, more details on https://bitcoin.org By paying the ransom from your personal cold cryptocurrency wallet, you will avoid any problems from regulators, police and brokers.
>>>>> Don't be afraid of any legal consequences, you were very scared, that's why you followed all our instructions, it's not your fault if you are very scared. Not a single company that paid us has had issues. Any excuses are just for insurance company to not pay on their obligation.
>>>>> You need to contact us via TOR sites with your personal ID
Download and install Tor Browser https://www.torproject.org/
Write to the chat room and wait for an answer, we'll guarantee a response from us. If you need a unique ID for correspondence with us that no one will know about, ask it in the chat, we will generate a secret chat for you and give you ID via private one-time memos service, no one can find out this ID but you. Sometimes you will have to wait some time for our reply, this is because we have a lot of work and we attack hundreds of companies around the world.
Tor Browser link for chat with us:
-
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
>>>>> Your personal identifier to communicate with us ID: - <<<<<
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
>>>>> Advertising:
Want a lamborghini, a ferrari and lots of titty girls? Sign up and start your pentester billionaire journey in 5 minutes with us.
-
After registration, you will receive the most flawless and reliable tools for encrypting almost all operating systems on the planet and a platform for negotiating with attacked companies.
Version: ChuongDong v1.01 | x64
Technical Analysis of LockBit 5.0
The LockBit 5.0 Windows version was found to have a better user interface with clean formatting for affiliates compared to previous versions.
It describes various options and settings for executing the ransomware, including basic options like specifying directories to encrypt or bypass, operation modes such as invisible mode and verbose mode, notes settings, encryption settings, filtering options and examples of usage.
"The detailed commands and parameters illustrate the flexibility and customization available to the attacker," the researchers commented.
Upon execution, the ransomware generates its signature ransom note and directs victims to a dedicated leak site. The infrastructure maintains LockBit's established victim interaction model, featuring a streamlined "Chat with Support" section for ransom negotiations.
Notably, the variant adds randomized 16-character file extensions to files following encryption, further complicating recovery. LockBit 5.0 also omits traditional markers at file endings, making analysis harder.
The malware deploys other anti-forensic techniques. This includes patching the EtwEventWrite API by overwriting it with a 0xC3 (return) instruction, disabling Windows Event Tracing capabilities.
As with previous LockBit versions, the new iteration uses geolocation checks, terminating execution when detecting Russian language settings or Russian geolocation.
The features observed in the Windows version were similar to those in the Linux and ESXi variants analyzed.
The ESXi variant specifically targets VMware virtualization infrastructure, which the researchers said represents a "critical escalation" in LockBit's capabilities.
This is because ESXi servers typically host multiple virtual machines, allowing attackers to encrypt entire virtualized environments with a single payload execution.
|
