LockBit Green Ransomware: Den komplette guide

LockBit Green er en ny variant af LockBit ransomware, der først blev rapporteret af cybersikkerhedskollektivet VX-Underground. Det er baseret pålækket kildekode til Conti ransomwareog er designet til at målrette mod sky-baserede tjenester.LockBit Green er den tredje version af LockBit ransomware, hvor tidligere varianter spores som LockBit Red og LockBit Black. LockBit RaaS-banden udgav LockBit Green, som er tilgængelig for deres tilknyttede selskaber ved hjælp af builder-funktionen på LockBit-portalen. Banden har ændret deresVMware ESXI ransomware variant, som er en type-1 hypervisor i virksomhedsklassen udviklet af VMware til at implementere og betjene virtuelle maskiner.SalvageData-eksperter anbefaler proaktive datasikkerhedsforanstaltninger, såsom regelmæssige sikkerhedskopier, stærk cybersikkerhedspraksis og at holde software opdateret, for at beskytte mod ransomware-angreb. Og,i tilfælde af et ransomware-angreb, kontakt voreseksperter til gendannelse af ransomwarestraks.

Hvilken slags malware er LockBit Green?

LockBit Green er en type malware, kendt som ransomware, der krypterer ofrenes data og derefter kræver løsesum, normalt betalt i kryptovaluta, i bytte for dekrypteringsværktøjet.LockBit Green bruger en ny Conti-baseret kryptering. Ransomwaren krypterer ofrets data og tilføjer en tilfældig udvidelse til filnavnene på alle krypterede filer. Krypteringsprocessen er automatisk og retter sig mod enheder på tværs af Windows-domæner. AES-nøglen genereres ved hjælp af BCryptGenRandom, og for hurtigere kryptering krypterer den kun de første 4KB af en fil og tilføjer den til tilfældige udvidelser. Ransomwaren udføres normalt via kommandolinjen, da den accepterer parametre for filstier eller mapper, hvis det ønskes, for kun at kryptere specifikke stier.

Alt, hvad vi ved om LockBit Green Ransomware

Bekræftet navn

• LockBit Green virus

Trusselstype

• Ransomware
• Krypto virus
• Filer skab
• Dobbelt afpresning

Udvidelse til krypterede filer

• Tilfældig forlængelse

Løsepenge krævende besked

• !!!-Gendan-Mine-filer-!!!.txt

Detektionsnavne

• AvastWin32:Conti-B [Ransom]

• AVGWin32:Conti-B [Ransom]

• EmsisoftGen:Variant.Ser.Zusy.4033 (B)

• MalwarebytesGeneric.Ransom.FileCryptor.DDS

• KasperskyUDS:DangerousObject.Multi.Generic

• SophosMal/Generisk-S

• MicrosoftRansom:Win32/Conti.AD!MTB

Fordelingsmetoder

• Phishing-e-mails
• Kompromitterede servere.
• Brute Forcing VPN-legitimationsoplysninger
• Udnyttelse af sårbarheder.
• Social Engineering
• Ondsindede annoncer og websteder
• Udnyttelse af Remote Desktop Protocol (RDP)
• Supply Chain angreb

Konsekvenser

Se også:BlackSuit Ransomware: Den komplette guide

• Filer er krypteret og låst indtil løsesumsbetalingen
• Datalæk
• Dobbelt afpresning

Er der en gratis decryptor tilgængelig?

Ingen.Der er ingen kendt offentlig dekryptering til LockBit Green ransomware tilgængelig på nuværende tidspunkt.

Hvad er LockBit Green ransomwares IOC'er?

Indikatorer for kompromis (IOC'er) er artefakter, der observeres på et netværk eller i et operativsystem, og som indikerer en computerindtrængen med høj tillid. IOC'er kan bruges til tidlig opdagelse af fremtidige angrebsforsøg ved hjælp af indtrængningsdetektionssystemer og antivirussoftware. De er i det væsentlige digitale versioner af bevismateriale, der er efterladt på et gerningssted, og potentielle IOC'er omfatter usædvanlig netværkstrafik, privilegerede brugerlogin fra fremmede lande, mærkelige DNS-anmodninger, systemfilændringer og mere. Når en IOC opdages, evaluerer sikkerhedsteams mulige trusler eller validerer dens ægthed. IOC'er giver også bevis for, hvad en angriber havde adgang til, hvis de infiltrerede netværket. LockBit Green ransomware's Indicators of Compromise (IOC'er) omfatter:

• Krypterede filer med en tilfældig udvidelse tilføjet til deres filnavne
• En løsesumseddel eller besked, der vises på offerets skærm eller i en tekstfil
• Usædvanlig netværkstrafik eller -aktivitet, såsom store mængder data, der overføres til ukendte steder
• Mistænkelige processer eller tjenester, der kører på ofrets system
• Ændringer af systemindstillinger eller konfigurationer, såsom deaktivering af sikkerhedssoftware eller ændring af registreringsdatabasenøgler

Hvis nogen af ​​disse tegn opdages, er det vigtigt at isolere det berørte system fra netværket og søge assistance fra en kvalificeret sikkerhedsekspert til at undersøge og afhjælpe angrebet. Det anbefales også regelmæssigt at sikkerhedskopiere vigtige data og implementere bedste praksis for sikkerhed for at forhindre ransomware-angreb.

LockBit Green ransomware fil hashes

Ransomware-hash-filer er unikke identifikatorer, der repræsenterer en specifik fil eller et sæt filer, der er blevet krypteret af ransomware. Disse hashes kan bruges til at identificere og spore ransomware-angreb og til at udvikle signaturer til antivirussoftware til at opdage og blokere ransomware-infektioner.LockBit Green fil-hash:

• 102679330f1e2cbf41885935ceeb2ab6596dae82925deec1aff3d90277ef6c8c
• 32eb4b7a4d612fac62e93003811e88fbc01b64281942c25f2af2a0c63cdbe7fa
• 5c5c5b25b51450a050f4b91cd2705c8242b0cfc1a0eaeb4149354dbb07979b83
• 7509761560866a2f7496eb113954ae221f31bc908ffcbacad52b61346880d9f3
• 924ec909e74a1d973d607e3ba1105a17e4337bd9a1c59ed5f9d3b4c25478fe11
• ac49a9ecd0932faea3659d34818a8ed4c48f40967c2f0988eeda7eb089ad93ca
• fc8668f6097560f79cea17cd60b868db581e51644b84f5ad71ba85c00f956225
• ffa0420c10f3d0ffd92db0091304f6ed60a267f747f4420191b5bfe7f4a513a9

Hvad er der i LockBit Green løsesum noten

Løsesedlen for LockBit Green er identisk med den, der bruges af LockBit Black, og løsesumsedlens filnavn er blevet ændret til "!!!-Restore-My-Files-!!!.txt".LockBit Green løsesumseddel angiver, at dataene er blevet stjålet og krypteret og advarer om, at hvis løsesummen ikke betales, vil de stjålne data blive lækket eller solgt. Kommandolinjeflaggene for LockBit Green er identiske med dem i Conti v3, hvilket gør det til en afledt af den originale kildekode.Det er vigtigt at bemærke, at betaling af løsesum ikke garanterer, at angriberne vil levere dekrypteringsnøglen og kan resultere i yderligere angreb.

Hvis du indser, at du er et ransomware-offer, kan du få en sikker datagendannelsestjeneste og ransomwarefjernelse efter et angreb ved at kontakte SalvageData ransomware-fjernelseseksperter.

Hvordan spredes LockBit Green ransomware

LockBit Green får adgang til cloud-baserede tjenester på forskellige måder. Her er nogle metoder, som LockBit Green ransomware kan bruge til at målrette mod skybaserede tjenester:

• Udnyttelse af sårbarheder.Ransomware kan udnytte sårbarheder i cloud-infrastruktur, såsom fejlkonfigurationer eller forældet software, til at få uautoriseret adgang. Dette kan omfatte udnyttelse af svage adgangskoder, upatchet software eller usikre netværkskonfigurationer.
• Phishing og Social Engineering.Ransomware-operatører kan bruge phishing-e-mails eller andre social engineering-teknikker til at narre brugere til at klikke på ondsindede links eller downloade inficerede vedhæftede filer. Disse e-mails kan designes til at virke legitime og kan indeholde overbevisende beskeder eller efterligne betroede enheder.

• Brute Forcing VPN-legitimationsoplysninger.I nogle tilfælde kan LockBit Green ankomme via brute forcering af usikre VPN-legitimationsoplysninger. Dette kan forekomme, når svage eller let gættelige adgangskoder bruges til VPN-adgang.
• Ondsindede annoncer og websteder.Ransomware kan også distribueres gennem ondsindede s eller kompromitterede websteder. Brugere kan ubevidst besøge et kompromitteret websted eller klikke på en ondsindet annonce, som derefter kan downloade og udføre ransomwaren på deres system.
• Udnyttelse af Remote Desktop Protocol (RDP).Ransomware-operatører kan forsøge at udnytte svage eller forkert konfigurerede RDP-forbindelser (Remote Desktop Protocol) for at få adgang til skybaserede tjenester. Når de først er inde i netværket, kan de bevæge sig sideværts og inficere andre systemer.
• Supply Chain angreb.Ransomware kan også introduceres i cloud-baserede tjenester gennem supply chain-angreb. Dette indebærer at kompromittere betroede softwareleverandører eller tjenesteudbydere og bruge deres adgang til at distribuere ransomware til deres kunder.
• Kompromitterede servere.LockBit-operatører får ofte adgang til netværk gennem kompromitterede servere. De kan udnytte sårbarheder i serversoftware eller få adgang gennem kompromitterede legitimationsoplysninger fra tilknyttede selskaber eller andre trusselsaktører.

Hvordan inficerer LockBit Green ransomware en computer eller netværk?

LockBit Green ransomware virker ved at kryptere ofrets data ved hjælp af en ny Conti-baseret kryptering. Her er en oversigt over, hvordan krypteringsprocessen typisk fungerer:

Infektion

LockBit Green får adgang til en computer eller netværk gennem forskellige midler, såsom phishing-e-mails, kompromitterede servere eller udnyttelse af sårbarheder.

Kryptering

Når først er inde i systemet, begynder LockBit Green at kryptere ofrets filer. Det er rettet mod en bred vifte af filtyper, herunder dokumenter, billeder og videoer. Ransomwaren bruger en kraftfuld krypteringsalgoritme til at kryptere dataene, hvilket gør dem utilgængelige uden dekrypteringsnøglen.

Filudvidelse

LockBit Green tilføjer en tilfældig udvidelse til filnavnene på alle krypterede filer. Denne udvidelse er unik for hvert offer og fungerer som en identifikator for ransomwaren.

Løsebeløbsnotat

Efter at have krypteret filerne efterlader LockBit Green en løsesumseddel. Det specifikke indhold af løsesumsedlen kan variere, men den informerer typisk ofret om, at deres data er blevet krypteret, og giver instruktioner om, hvordan løsesummen betales for at få dekrypteringsnøglen.

Løsepengebetaling

Løsesedlen indeholder detaljer om, hvordan man kontakter ransomware-operatørerne og foretager betalingen. Det er vigtigt at bemærke, at betaling af løsesum ikke garanterer, at filerne dekrypteres, og det kan tilskynde til yderligere angreb.

Betal ikke løsesummen!Kontakt en tjeneste til fjernelse af ransomware kan ikke kun gendanne dine filer, men også fjerne enhver potentiel trussel.

Sådan håndteres et LockBit Green ransomware-angreb

Vigtig:Det første skridt efter at have identificeret LockBit Green IOC'er er at ty til din Incident Response Plan (IRP). Ideelt set har du en Incident Response Retainer (IRR) med et betroet team af fagfolk, som kan kontaktes 24/7/365, og de kan træffe øjeblikkelige foranstaltninger, der forhindrer datatab, reducerer eller eliminerer løsesumsbetalingen og hjælper dig gennem eventuelle juridiske forpligtelser. Så vidt vi ved med de oplysninger, vi har på det tidspunkt, denne artikel udgives, er det første skridt, at et ekspertteam vil tage et ekspertteam til at genoprette. inficeret computer ved at afbryde forbindelsen fra internettet og fjerne enhver tilsluttet enhed.Samtidigt vil dette team hjælpe dig med at kontakte dit lands lokale myndigheder. For amerikanske indbyggere og virksomheder er detlokalt FBI feltkontorog denInternet Crime Complaint Center (IC3). For at rapportere et ransomware-angreb skal du indsamle alle de oplysninger, du kan om det, inklusive:

• Skærmbilleder af løsesumsedlen
• Kommunikation med LockBit Green-skuespillere (hvis du har dem)
• Et eksempel på en krypteret fil

Men hvis du ikke har en IRP eller IRR, kan du stadigkontakt fagfolk til fjernelse og gendannelse af ransomware. Dette er den bedste fremgangsmåde og øger i høj grad chancerne for succesfuldt at fjerne ransomwaren, gendanne dataene og forhindre fremtidige angreb. Vi anbefaler, at dulad alle inficerede maskiner være som de erog ring til ennødhjælpstjeneste til gendannelse af ransomware. Genstart eller lukning af systemet kan kompromittere gendannelsesprocessen. Indfangning af RAM i et live-system kan hjælpe med at få krypteringsnøglen, og at fange en dropper-fil kan blive omvendt og føre til dekryptering af data eller forståelse af, hvordan det fungerer.

Hvad skal man IKKE gøre for at komme sig efter et LockBit Green ransomware-angreb

Du skalikke slette ransomwaren, og gem alle beviser for angrebet. Det er vigtigt fordigital retsmedicinså eksperter kan spore tilbage til hackergruppen og identificere dem. Det er ved at bruge dataene på dit inficerede system, at myndigheder kanefterforske angrebet og finde den ansvarlige.En efterforskning af cyberangreb adskiller sig ikke fra enhver anden kriminel efterforskning: den kræver beviser for at finde angriberne.

1. Kontakt din Incident Response-udbyder

En cyberhændelsesreaktion er processen med at reagere på og håndtere en cybersikkerhedshændelse. An Incident Response Retainer er en serviceaftale med en cybersikkerhedsudbyder, der giver organisationer mulighed for at få ekstern hjælp til cybersikkerhedshændelser. Det giver organisationer en struktureret form for ekspertise og support gennem en sikkerhedspartner, hvilket gør dem i stand til at reagere hurtigt og effektivt under en cyberhændelse. En hændelsesretainer giver organisationer ro i sindet og tilbyder ekspertsupport før og efter en cybersikkerhedshændelse. En hændelsesberedskabsholders specifikke karakter og struktur vil variere afhængigt af udbyderen og organisationens krav. En god hændelsesretainer bør være robust, men fleksibel, og levere dokumenterede tjenester til at forbedre en organisations langsigtede sikkerhedsposition.Hvis du kontakter din IR-tjenesteudbyder, sørger de for alt andet.Men hvis du beslutter dig for at fjerne ransomwaren og gendanne filerne med dit it-team, så kan du følge de næste trin.

2. Identificer ransomware-infektionen

Det kan duidentificere hvilken ransomwareinficerede din maskine med filtypenavnet (nogle ransomware bruger filtypenavnet som deres navn), ellers vil det stå på løsesumsedlen. Med disse oplysninger kan du lede efter en offentlig dekrypteringsnøgle. Du kan også kontrollere ransomware-typen ved dens IOC'er. Indicators of Compromise (IOC'er) er digitale spor, som cybersikkerhedsprofessionelle bruger til at identificere systemkompromiser og ondsindede aktiviteter inden for et netværk eller it-miljø. De er i det væsentlige digitale versioner af beviser, der er efterladt på et gerningssted, og potentielle IOC'er inkluderer usædvanlig netværkstrafik, privilegerede brugerlogin fra fremmede lande, mærkelige DNS-anmodninger, systemfilændringer og mere. Når en IOC opdages, evaluerer sikkerhedsteams mulige trusler eller validerer dens ægthed. IOC'er giver også bevis for, hvad en angriber havde adgang til, hvis de infiltrerede netværket.

3. Fjern ransomware og eliminer udnyttelsessæt

Før du gendanner dine data, skal du garantere, at din enhed er ransomware-fri, og at angriberne ikke kan foretage et nyt angreb gennem udnyttelsessæt eller andre sårbarheder. En tjeneste til fjernelse af ransomware kan slette ransomware, oprette et retsmedicinsk dokument til undersøgelse, eliminere sårbarheder og gendanne dine data. Brug anti-malware/anti-ransomware-software til at sætte karantæne og fjerne den ondsindede software.

Vigtig:Ved at kontakte tjenester til fjernelse af ransomware kan du sikre, at din maskine og netværk ikke har spor af LockBit Green ransomware. Disse tjenester kan også patche dit system, hvilket forhindrer nye angreb.

4. Brug en sikkerhedskopi til at gendanne dataene

Sikkerhedskopier er den mest effektive måde at gendanne data på. Sørg for at holde daglige eller ugentlige sikkerhedskopier, afhængigt af dit dataforbrug.

5. Kontakt en ransomware-gendannelsestjeneste

Hvis du ikke har en sikkerhedskopi eller har brug for hjælp til at fjerne ransomware og eliminere sårbarheder, skal du kontakte en datagendannelsestjeneste. At betale løsesummen garanterer ikke, at dine data vil blive returneret til dig. Den eneste garanterede måde, du kan gendanne hver fil på, er, hvis du har en sikkerhedskopi af den. Hvis du ikke gør det, kan ransomware-datagendannelsestjenester hjælpe dig med at dekryptere og gendanne filerne.SalvageData-eksperter kan sikkert gendanne dine filer og forhindre LockBit Green ransomware i at angribe dit netværk igen.Kontakt vores eksperter 24/7 for nødgendannelse.

Forhindre LockBit Green ransomware-angrebet

Forebyggelse af ransomware er den bedste løsning til datasikkerhed. er nemmere og billigere end at komme sig fra dem. LockBit Green ransomware kan koste din virksomheds fremtid og endda lukke dens døre. Dette er et par tips til at sikre, at du kanundgå ransomware-angreb:

• Installer antivirus og anti-malware software.
• Brug pålidelige cybersikkerhedsløsninger.
• Brug stærke og sikre adgangskoder.
• Hold software og operativsystemer opdateret.
• Implementer firewalls for ekstra beskyttelse.
• Opret en datagendannelsesplan.
• Planlæg regelmæssigt sikkerhedskopier for at beskytte dine data.
• Udvis forsigtighed med vedhæftede filer i e-mails og downloads fra ukendte eller mistænkelige kilder.
• Bekræft sikkerheden af ​​annoncer, før du klikker på dem.
• Få kun adgang til websteder fra pålidelige kilder.

Ved at overholde denne praksis kan du styrke din online sikkerhed og beskytte dig selv mod potentielle trusler.