Les attaques de ransomware LockBit 2.0 augmentent dans le monde
Les chercheurs en sécurité ont repéré une augmentation des attaques utilisant la dernière version du ransomware LockBit, avec de nouvelles victimes en Amérique du Sud, en Asie et en Europe.
Nous avons déjà couvert l'attaque LockBit 2.0 qui a ciblé avec succès l'énorme société de conseil Accenture, avec des acteurs de la menace qui auraient demandé une rançon de 50 millions de dollars, selon certains analystes, et auraient volé environ 6 To de données sensibles Accenture. La société de conseil a déclaré qu'il n'y avait pas eu d'impact significatif de l'attaque, que les systèmes ont été rapidement verrouillés et que l'impact était minime, les données étant restaurées avec succès à partir des sauvegardes.
Les nouvelles attaques font suite à la demande de rançon sur Accenture. Des chercheurs signalent des attaques contre des entités situées à Taïwan, au Royaume-Uni et au Chili. La nouvelle version du ransomware utiliserait un cryptage multithread amélioré, doté de l'une des méthodes de cryptage les plus rapides du domaine. Il semble également que LockBit 2.0 ne crypte qu'une très petite partie de chaque fichier qu'il brouille, avec seulement 4 kilo-octets de chaque fichier crypté, ce qui accélère considérablement le processus.
L'acteur de la menace derrière LockBit expérimente également de nouvelles tactiques d'ingénierie sociale. Les pirates tentent de joindre les employés de l'entreprise et de les soudoyer pour qu'ils coopèrent. Il existe des rapports de logiciels malveillants modifiant les fonds d'écran des employés, des paiements publicitaires de plusieurs millions de dollars pour des informations d'identification de travail qui permettront aux pirates d'infiltrer l'organisation cible.
Une fois que LockBit 2.0 trouve son chemin sur un réseau, il dispose d'un arsenal varié d'outils. Il existe un scanner de réseau qui distingue les contrôleurs de domaine ainsi qu'un ensemble de fichiers .bat qui incluent l'automatisation pour un grand nombre de tâches, notamment l'activation de RDP, la fermeture de tout logiciel anti-malware ou de sécurité et le vidage des journaux d'événements pour minimiser les logiciels malveillants. empreinte.
Après avoir établi ses routines de base, LockBit commence à se déplacer latéralement sur le réseau victime, en commençant par envoyer de nouvelles stratégies de groupe aux appareils connectés. Ces stratégies s'occupent de la fermeture de Windows Defender, puis de la diffusion et de l'exécution de la charge utile sur chaque appareil Windows trouvé.
Une fois le cryptage effectué, l'image du bureau est remplacée par le message de recrutement décrit ci-dessus, les instructions de rançon habituelles et la menace que les fichiers déjà cryptés puissent être rendus publics au cas où la rançon ne serait pas payée.
Les chercheurs ont également repéré des similitudes dans les comportements de LockBit 2.0 et d'autres souches de ransomware infâmes telles que Ryuk et Egregor, indiquant un chevauchement de code au moins partiel.
