Nel mondo della sicurezza informatica, le minacce evolvono costantemente. Tra queste si trovano i software malevoli, comunemente chiamati ransomware. Il loro obiettivo è semplice: rendere inaccessibili i sistemi informatici cifrando i dati e chiedendo un riscatto in cambio. Un attore particolarmente preoccupante in questo ambito è il ransomware Lockbit, apparso nel 2019 e in costante evoluzione, che pone seri problemi alle organizzazioni di tutto il mondo. Questo gruppo si è fatto conoscere per la sua variante di ransomware sofisticata e spietata, che si infiltra nei sistemi informatici, cifra dati vitali ed esige riscatti elevati, lasciando le vittime davanti a decisioni difficili.
Storia di Lockbit
Gli inizi di LockBit
Lockbit è stato individuato per la prima volta nel settembre 2019, quando i ricercatori di cybersicurezza notarono una campagna di phishing via email. Inizialmente conosciuto come ransomware “ABCD” per l’estensione “.abcd virus” usata durante la cifratura, il ransomware si è rapidamente evoluto. Nel gennaio 2020, il gruppo ha iniziato a operare come ransomware-as-a-service (RaaS) e ha adottato il nome LockBit.
Crescita e diversificazione
Da allora, LockBit ha sviluppato diverse varianti dei suoi prodotti ransomware per la cifratura: .abcd, LockBit 1.0, LockBit 2.0, LockBit 3.0 e LockBit Green. Ogni variante di LockBit rappresenta un’evoluzione nella velocità di cifratura, pensata per impedire alle misure di cybersicurezza di un’azienda di contrastare un attacco.
Nuova variante nel 2021: LockBit 2.0
Nel giugno 2021, i cybercriminali dietro Lockbit hanno lanciato una nuova versione del loro malware: LockBit 2.0. Questo aggiornamento introduce diversi miglioramenti che accentuano la minaccia rappresentata da Lockbit, tra cui meccanismi più sofisticati per evitare la rilevazione, oltre a un modello di business in « Ransomware as a Service » in cui i cybercriminali affittano l’infrastruttura necessaria per condurre gli attacchi. Anche se questa versione non è la prima del suo genere, illustra la tendenza crescente dei ransomware a evolvere costantemente per approfittare delle vulnerabilità e delle falle di sicurezza.
Giugno 2022: comparsa di Lockbit 3.0
LockBit 3.0, lanciato a fine giugno 2022, continua a migliorare la velocità di cifratura per eludere la rilevazione di sicurezza. Secondo gli esperti di cybersicurezza, questo malware impiega tattiche anti-analisi, funziona solo con una password e utilizza comandi avanzati.
Questo ransomware si distingue anche per il suo inedito programma di Bug Bounty, che invita utenti e specialisti della sicurezza a segnalare le falle in cambio di ricompense finanziarie, che vanno da 1.000 a 1 milione di dollari. Questa iniziativa mira a incoraggiare la scoperta di vulnerabilità sfruttabili da LockBit e a suggerire al gruppo piste di evoluzione. LockBit è particolarmente interessato ai bug che riguardano i sistemi di blocco, le falle della rete Tor, le vulnerabilità della messaggistica Tox e i bug dei siti web.
Lockbit, il ransomware dominante nel 2023
Secondo un report di Trend Micro, LockBit è riuscito a rimanere in testa alle famiglie di ransomware dal 2022, con il 26,09% di tutti gli attacchi ransomware noti attribuibili a questo gruppo. Questo dato sottolinea l’entità e la diffusione di questa minaccia nel panorama attuale della cybersicurezza.
Questo ransomware si è distinto per la sua capacità di diffondersi molto rapidamente nelle reti, colpendo le organizzazioni senza che i loro utenti se ne rendessero nemmeno conto. Da allora, Lockbit ha continuato ad affinare i suoi metodi, rendendo la rilevazione e la mitigazione ancora più difficili per le aziende.
Metodi impiegati da Lockbit
Gli attori che conducono questi attacchi sono membri a tempo pieno del collettivo, oppure affiliati che si uniscono temporaneamente al collettivo nella speranza di un guadagno finanziario immediato. Questi utilizzano diverse tecniche per infettare le vittime e propagare il payload. Tra questi metodi si trovano:
1. Phishing via email
Le campagne di phishing sono spesso usate come vettore d’infezione iniziale per i ransomware. I cybercriminali inviano email contenenti allegati o link malevoli che, una volta aperti o cliccati, possono installare Lockbit sul computer della vittima. Le aziende devono quindi formare i propri collaboratori alle buone pratiche di sicurezza informatica per limitare i rischi.
2. Sfruttamento di vulnerabilità note
Lockbit può anche sfruttare vulnerabilità software o hardware per infiltrarsi nei sistemi e distribuire il proprio payload. Per proteggersi da questo tipo di attacco, è fondamentale mantenere regolarmente aggiornate le patch di sicurezza e assicurarsi che tutti i sistemi siano al passo con gli aggiornamenti.
3. Bruteforce RDP (Remote Desktop Protocol)
I cybercriminali possono anche utilizzare attacchi a forza bruta per ottenere un accesso remoto ai sistemi informatici, in particolare sfruttando debolezze del protocollo RDP (Remote Desktop Protocol). Se l’attaccante riesce a introdursi in questo sistema, può distribuire Lockbit ed esfiltrare i dati sensibili prima di cifrare i file.
Le fasi di un attacco LockBit
Il processo di attacco di LockBit si concentra su tre fasi principali: l’accesso iniziale, il movimento laterale con l’escalation dei privilegi, e la distribuzione del payload del ransomware.
- Accesso iniziale: LockBit utilizza spesso tattiche di ingegneria sociale, come il phishing, per ottenere le credenziali degli utenti e un ingresso iniziale nella rete di un’organizzazione.
- Movimento laterale ed elevazione dei privilegi: una volta ottenuto l’accesso iniziale, gli attaccanti cercano di estendere la propria portata all’interno della rete compromessa, individuando dati e sistemi sensibili da cifrare.
- Distribuzione del payload del ransomware: dopo aver preparato la rete della vittima per l’attacco, distribuiscono il ransomware per cifrare i file e i dati delle vittime e formulare la richiesta di riscatto.
I settori presi di mira da LockBit
LockBit ha attaccato una varietà di organizzazioni in diversi settori, tra cui istruzione, finanza, sanità, software internet e servizi professionali. Un report di Trend Micro del 2022 ha indicato che l’80,5% delle vittime di LockBit sono piccole e medie imprese. Per tutte le aziende, il costo finanziario e il danno alla reputazione possono a volte rivelarsi fatali.
In un periodo di 18 mesi, LockBit si è imposto come il ransomware più frequentemente rilevato, come dimostrano diversi incidenti importanti. Nel gennaio, Royal Mail, il principale servizio postale del Regno Unito, è stato paralizzato da un attacco LockBit, che ha interrotto le sue spedizioni internazionali.
Nel giugno 2023, il gruppo LockBit ha attaccato un fornitore di Taiwan Semiconductor Manufacturing Company (TSMC), il più grande produttore di chip in conto lavorazione al mondo, accedendo ai suoi dati confidenziali. LockBit ha chiesto a TSMC un riscatto di 70 milioni di dollari, minacciando di divulgare le informazioni rubate in caso di mancato pagamento. Una delle loro ultime vittime è il gruppo aeronautico Boeing, attaccato nell’ottobre 2023.
Proteggersi dal ransomware Lockbit
Come per qualsiasi minaccia informatica, non esiste una soluzione unica per proteggersi da Lockbit. Tuttavia, alcune buone pratiche di sicurezza possono aiutare a ridurre il rischio di essere infettati da questo tipo di malware:
Aggiornamento e messa in sicurezza dei sistemi
Mantenete i vostri sistemi aggiornati applicando regolarmente le patch di sicurezza e assicurandovi che tutte le applicazioni siano protette. Questo può limitare le vulnerabilità sfruttate dai cybercriminali per diffondere Lockbit.
Backup regolari
Per minimizzare l’impatto potenziale di un attacco Lockbit su un’azienda, è fondamentale effettuare backup regolari dei dati e assicurarsi che siano archiviati correttamente fuori sede. In questo modo, anche se i file vengono cifrati durante un’infezione da ransomware, l’azienda avrà sempre accesso a una copia di riserva dei propri dati.
Formazione e sensibilizzazione dei dipendenti
Implementare una formazione sulla sicurezza informatica e sulle buone pratiche per evitare le trappole più comuni del phishing e altri attacchi può ridurre il rischio di infezione da Lockbit. Poiché la cybersicurezza è compito di tutti, è importante che ogni utente sia consapevole delle potenziali minacce e sappia come identificarle.