LockBit Green Ransomware: Ghidul complet

LockBit Green este o nouă variantă a ransomware-ului LockBit, care a fost raportată pentru prima dată de colectivul de securitate cibernetică VX-Underground. Se bazează peS-a scurs codul sursă al ransomware-ului Contiși este conceput pentru a viza serviciile bazate pe cloud.LockBit Green este a treia versiune a ransomware-ului LockBit, variantele anterioare fiind urmărite ca LockBit Red și LockBit Black. Banda LockBit RaaS a lansat LockBit Green, care este disponibil pentru afiliații lor folosind funcția de constructor de pe portalul LockBit. Banda și-a modificatVarianta de ransomware VMware ESXI, care este un hipervizor de tip 1 de clasă enterprise, dezvoltat de VMware pentru implementarea și servirea mașinilor virtuale. Experții SalvageData recomandă măsuri proactive de securitate a datelor, cum ar fi backup-uri regulate, practici puternice de securitate cibernetică și menținerea software-ului la zi, pentru a proteja împotriva atacurilor ransomware. Şi,în cazul unui atac ransomware, contactați-neexperți în recuperare de ransomwareimediat.

Ce fel de malware este LockBit Green?

LockBit Green este un tip de malware, cunoscut sub numele de ransomware, care criptează datele victimelor și apoi solicită o răscumpărare, plătită de obicei în criptomonedă, în schimbul decriptorului. LockBit Green folosește un nou criptator bazat pe Conti. Ransomware-ul criptează datele victimei și adaugă o extensie aleatorie la numele fișierelor tuturor fișierelor criptate. Procesul de criptare este automat și vizează dispozitivele din domeniile Windows. Cheia AES este generată utilizând BCryptGenRandom, iar pentru o criptare mai rapidă, criptează doar primii 4 KB dintr-un fișier și îl anexează la extensii aleatorii. Ransomware-ul este de obicei executat prin linia de comandă, deoarece acceptă parametri de căi de fișiere sau directoare, dacă se dorește, pentru a cripta doar căi specifice.

Tot ce știm despre LockBit Green Ransomware

Nume confirmat

• Virusul LockBit Green

Tipul de amenințare

• Ransomware
• Criptovirus
• Dulapul de fișiere
• Extorcare dublă

Extensie de fișiere criptate

• Extensie aleatorie

Mesaj care solicită răscumpărare

• !!!-Restore-My-Files-!!!.txt

Nume de detectare

• AvastWin32:Conti-B [Răscumpărare]

• AVGWin32:Conti-B [Răscumpărare]

• EmsisoftGen:Variant.Ser.Zusy.4033 (B)

• MalwarebytesGeneric.Ransom.FileCryptor.DDS

• KasperskyUDS:DangerousObject.Multi.Generic

• SophosMal/Generic-S

• MicrosoftRăscumpărare:Win32/Conti.AD!MTB

Metode de distribuire

• E-mailuri de phishing
• Servere compromise.
• Acreditări VPN de forțare brută
• Exploatarea vulnerabilităților.
• Inginerie socială
• Anunțuri și site-uri web rău intenționate
• Exploatarea protocolului Remote Desktop (RDP)
• Atacurile lanțului de aprovizionare

Consecințele

Vezi și:BlackSuit Ransomware: Ghidul complet

• Fișierele sunt criptate și blocate până la plata răscumpărării
• Scurgere de date
• Extorcare dublă

Există un decriptor gratuit disponibil?

Nu.Nu există un decriptor public cunoscut pentru ransomware-ul LockBit Green disponibil în acest moment.

Ce sunt IOC-urile ransomware-ului LockBit Green?

Indicatorii de compromis (IOC) sunt artefacte observate într-o rețea sau într-un sistem de operare care indică o intruziune a computerului cu mare încredere. IOC-urile pot fi utilizate pentru detectarea timpurie a viitoarelor tentative de atac folosind sisteme de detectare a intruziunilor și software antivirus. Sunt în esență versiuni digitale ale dovezilor lăsate la locul crimei, iar potențialele IOC includ trafic neobișnuit de rețea, autentificări privilegiate ale utilizatorilor din țări străine, solicitări DNS ciudate, modificări ale fișierelor de sistem și multe altele. Când un IOC este detectat, echipele de securitate evaluează posibilele amenințări sau validează autenticitatea acestuia. IOC-urile oferă, de asemenea, dovezi la ce avea acces un atacator dacă s-a infiltrat în rețea. Indicatorii de compromis (IOC) ai ransomware-ului LockBit Green includ:

• Fișierele criptate cu o extensie aleatorie adăugată la numele fișierelor
• O notă de răscumpărare sau un mesaj afișat pe ecranul victimei sau într-un fișier text
• Trafic sau activitate neobișnuită în rețea, cum ar fi cantități mari de date transferate în locații necunoscute
• Procese sau servicii suspecte care rulează pe sistemul victimei
• Modificări ale setărilor sau configurațiilor sistemului, cum ar fi dezactivarea software-ului de securitate sau modificarea cheilor de registry

Dacă se detectează oricare dintre aceste semne, este important să izolați sistemul afectat de rețea și să solicitați asistență de la un profesionist calificat în securitate pentru a investiga și a remedia atacul. De asemenea, se recomandă să faceți în mod regulat copii de siguranță ale datelor importante și să implementați cele mai bune practici de securitate pentru a preveni atacurile ransomware.

Hashe-uri ale fișierelor ransomware LockBit Green

Fișierele hash ransomware sunt identificatori unici care reprezintă un anumit fișier sau un set de fișiere care au fost criptate de ransomware. Aceste hashuri pot fi folosite pentru a identifica și urmări atacurile ransomware și pentru a dezvolta semnături pentru software-ul antivirus pentru a detecta și bloca infecțiile ransomware. LockBit Green hash-uri de fișiere:

• 102679330f1e2cbf41885935ceeb2ab6596dae82925deec1aff3d90277ef6c8c
• 32eb4b7a4d612fac62e93003811e88fbc01b64281942c25f2af2a0c63cdbe7fa
• 5c5c5b25b51450a050f4b91cd2705c8242b0cfc1a0eaeb4149354dbb07979b83
• 7509761560866a2f7496eb113954ae221f31bc908ffcbacad52b61346880d9f3
• 924ec909e74a1d973d607e3ba1105a17e4337bd9a1c59ed5f9d3b4c25478fe11
• ac49a9ecd0932faea3659d34818a8ed4c48f40967c2f0988eeda7eb089ad93ca
• fc8668f6097560f79cea17cd60b868db581e51644b84f5ad71ba85c00f956225
• ffa0420c10f3d0ffd92db0091304f6ed60a267f747f4420191b5bfe7f4a513a9

Ce este în nota de răscumpărare LockBit Green

Nota de răscumpărare pentru LockBit Green este identică cu cea folosită de LockBit Black, iar numele fișierului notei de răscumpărare a fost schimbat în „!!!-Restore-My-Files-!!!.txt”. Nota de răscumpărare LockBit Green afirmă că datele au fost furate și criptate și avertizează că, dacă răscumpărarea nu este plătită, datele furate sau vândute vor fi scurse. Indicatoarele de linie de comandă pentru LockBit Green sunt identice cu cele ale Conti v3, făcându-l un derivat al codului sursă original.Este important de reținut că plata răscumpărării nu garantează că atacatorii vor furniza cheia de decriptare și poate duce la alte atacuri.

Dacă îți dai seama că ești o victimă a ransomware-ului, contactând experții în eliminarea ransomware-ului SalvageData îți oferă un serviciu sigur de recuperare a datelor și eliminarea ransomware-ului după un atac.

Cum se răspândește ransomware-ul LockBit Green

LockBit Green obține acces la serviciile bazate pe cloud prin diferite mijloace. Iată câteva metode pe care ransomware-ul LockBit Green le poate folosi pentru a viza serviciile bazate pe cloud:

• Exploatarea vulnerabilităților.Ransomware-ul poate exploata vulnerabilitățile din infrastructura cloud, cum ar fi configurațiile greșite sau software-ul învechit, pentru a obține acces neautorizat. Aceasta poate include exploatarea parolelor slabe, a software-ului nepatchat sau a configurațiilor de rețea nesigure.
• Phishing și Inginerie Socială.Operatorii de ransomware pot folosi e-mailuri de phishing sau alte tehnici de inginerie socială pentru a păcăli utilizatorii să facă clic pe linkuri rău intenționate sau să descarce atașamente infectate. Aceste e-mailuri pot fi concepute pentru a părea legitime și pot conține mesaje convingătoare sau uzurpa identitatea unor entități de încredere.

• Acreditări VPN de forțare brută.În unele cazuri, LockBit Green poate ajunge prin forțarea brută a acreditărilor VPN nesigure. Acest lucru se poate întâmpla atunci când sunt folosite parole slabe sau ușor de ghicit pentru accesul VPN.
• Anunțuri și site-uri web rău intenționate.Ransomware-ul poate fi distribuit și prin site-uri web rău intenționate sau compromise. Utilizatorii pot vizita fără să știe un site web compromis sau să facă clic pe un anunț rău intenționat, care poate apoi descărca și executa ransomware-ul în sistemul lor.
• Exploatarea protocolului Remote Desktop (RDP).Operatorii de ransomware pot încerca să exploateze conexiuni slabe sau configurate greșit Remote Desktop Protocol (RDP) pentru a obține acces la serviciile bazate pe cloud. Odată intrați în rețea, se pot deplasa lateral și pot infecta alte sisteme.
• Atacurile lanțului de aprovizionare.Ransomware-ul poate fi, de asemenea, introdus în serviciile bazate pe cloud prin atacuri ale lanțului de aprovizionare. Aceasta implică compromiterea furnizorilor de software sau furnizorilor de servicii de încredere și utilizarea accesului acestora pentru a distribui ransomware-ul clienților lor.
• Servere compromise.Operatorii LockBit obțin adesea acces la rețele prin servere compromise. Aceștia pot exploata vulnerabilitățile din software-ul serverului sau pot obține acces prin acreditări compromise obținute de la afiliați sau alți actori amenințări.

Cum infectează ransomware-ul LockBit Green un computer sau o rețea?

Ransomware-ul LockBit Green funcționează prin criptarea datelor victimei folosind un nou criptator bazat pe Conti. Iată o detaliere a modului în care funcționează de obicei procesul de criptare:

Infecţie

LockBit Green obține acces la un computer sau o rețea prin diferite mijloace, cum ar fi e-mailuri de phishing, servere compromise sau exploatarea vulnerabilităților.

Criptare

Odată intrat în sistem, LockBit Green începe să cripteze fișierele victimei. Acesta vizează o gamă largă de tipuri de fișiere, inclusiv documente, imagini și videoclipuri. Ransomware-ul folosește un algoritm de criptare puternic pentru a amesteca datele, făcându-le inaccesibile fără cheia de decriptare.

Extensie de fișier

LockBit Green adaugă o extensie aleatorie la numele fișierelor tuturor fișierelor criptate. Această extensie este unică pentru fiecare victimă și servește ca un identificator pentru ransomware.

Notă de răscumpărare

După criptarea fișierelor, LockBit Green lasă în urmă o notă de răscumpărare. Conținutul specific al notei de răscumpărare poate varia, dar de obicei informează victima că datele lor au fost criptate și oferă instrucțiuni despre cum să plătească răscumpărarea pentru a obține cheia de decriptare.

Plata răscumpărării

Nota de răscumpărare include detalii despre cum să contactați operatorii de ransomware și să efectuați plata. Este important de reținut că plata răscumpărării nu garantează că fișierele vor fi decriptate și poate încuraja alte atacuri.

Nu plătiți răscumpărarea!Contactarea unui serviciu de eliminare a ransomware nu poate doar să vă restabiliți fișierele, ci și să eliminați orice potențială amenințare.

Cum să gestionați un atac ransomware LockBit Green

Important:Primul pas după identificarea IOC-urilor LockBit Green este să recurgeți la Planul de răspuns la incident (IRP). În mod ideal, aveți un Incident Response Retainer (IRR) cu o echipă de profesioniști de încredere, care poate fi contactată 24/7/365, și aceștia pot lua măsuri imediate care vor preveni pierderea de date, vor reduce sau elimina plata răscumpărării și vă vor ajuta să treceți peste orice răspundere legală. Din cunoștințele noastre, cu informațiile pe care le avem la momentul publicării acestui articol, echipa de experți ar face primul pas pentru a recupera software-ul. computer infectat prin deconectarea acestuia de la internet și eliminarea oricărui dispozitiv conectat. În același timp, această echipă vă va ajuta să contactați autoritățile locale din țara dumneavoastră. Pentru rezidenții și întreprinderile din SUA, estebiroul local al FBIiar celCentrul de reclamații privind infracțiunile pe internet (IC3). Pentru a raporta un atac ransomware, trebuie să adunați toate informațiile pe care le puteți despre acesta, inclusiv:

• Capturi de ecran ale notei de răscumpărare
• Comunicații cu actorii LockBit Green (dacă îi aveți)
• O mostră dintr-un fișier criptat

Cu toate acestea, dacă nu aveți un IRP sau IRR, puteți încăcontactați profesioniștii în eliminarea și recuperarea ransomware-ului. Acesta este cel mai bun curs de acțiune și crește foarte mult șansele de a elimina cu succes ransomware-ul, de a restabili datele și de a preveni atacurile viitoare. Vă recomandămlăsați fiecare mașină infectată așa cum suntși sunați la unserviciu de recuperare de urgență a ransomware.Repornirea sau oprirea sistemului poate compromite procesul de recuperare. Capturarea memoriei RAM a unui sistem activ poate ajuta la obținerea cheii de criptare, iar capturarea unui fișier dropper poate fi realizată prin inginerie inversă și poate duce la decriptarea datelor sau la înțelegerea modului în care funcționează.

Ce NU trebuie să faceți pentru a vă recupera de la un atac ransomware LockBit Green

Trebuie să vănu ștergeți ransomware-ulși păstrați toate dovezile atacului. Asta este important pentrucriminalistica digitalaastfel încât experții să poată urmări până la grupul de hackeri și să-i identifice. Autoritățile pot folosi datele de pe sistemul dumneavoastră infectatinvestigați atacul și găsiți vinovatul.O investigație de atac cibernetic nu este diferită de orice altă anchetă penală: are nevoie de dovezi pentru a-i găsi pe atacatori.

1. Contactarea furnizorului dvs. de răspuns la incident

Un răspuns la incident cibernetic este procesul de răspuns și de gestionare a unui incident de securitate cibernetică. An Incident Response Retainer este un acord de servicii cu un furnizor de securitate cibernetică care permite organizațiilor să obțină ajutor extern cu incidentele de securitate cibernetică. Oferă organizațiilor o formă structurată de expertiză și asistență printr-un partener de securitate, permițându-le să răspundă rapid și eficient în timpul unui incident cibernetic. Natura și structura specifică a unui reținător de răspuns la incident va varia în funcție de furnizor și de cerințele organizației. O bună menținere a răspunsului la incident ar trebui să fie robustă, dar flexibilă, oferind servicii dovedite pentru a îmbunătăți postura de securitate pe termen lung a unei organizații.Dacă contactați furnizorul dvs. de servicii IR, acesta va avea grijă de orice altceva.Cu toate acestea, dacă decideți să eliminați ransomware-ul și să recuperați fișierele cu echipa IT, atunci puteți urma următorii pași.

2. Identificați infecția ransomware

Putețiidentificați ce ransomwarev-ați infectat mașina cu extensia de fișier (unele ransomware folosesc extensia de fișier ca nume) sau va fi pe nota de răscumpărare. Cu aceste informații, puteți căuta o cheie publică de decriptare. Puteți verifica și tipul de ransomware după IOC-urile sale. Indicatorii de compromis (IOC) sunt indicii digitale pe care profesioniștii în securitate cibernetică le folosesc pentru a identifica compromisurile sistemului și activitățile rău intenționate într-o rețea sau un mediu IT. Ele sunt în esență versiuni digitale ale dovezilor lăsate la locul crimei, iar potențialele IOC includ trafic neobișnuit de rețea, autentificări privilegiate ale utilizatorilor din țări străine, solicitări DNS ciudate, modificări ale fișierelor de sistem și multe altele. Când un IOC este detectat, echipele de securitate evaluează posibilele amenințări sau validează autenticitatea acestuia. IOC-urile oferă, de asemenea, dovezi la ce avea acces un atacator dacă s-a infiltrat în rețea.

3. Eliminați ransomware-ul și eliminați kiturile de exploatare

Înainte de a vă recupera datele, trebuie să vă garantați că dispozitivul dumneavoastră nu conține ransomware și că atacatorii nu pot face un nou atac prin truse de exploatare sau alte vulnerabilități. Un serviciu de eliminare a ransomware-ului poate șterge ransomware-ul, poate crea un document criminalistic pentru investigare, poate elimina vulnerabilitățile și poate recupera datele. Utilizați software anti-malware/anti-ransomware pentru a pune în carantină și a elimina software-ul rău intenționat.

Important:Contactând serviciile de eliminare a ransomware-ului, vă puteți asigura că mașina și rețeaua dvs. nu au nicio urmă de ransomware-ul LockBit Green. De asemenea, aceste servicii vă pot corecta sistemul, prevenind noi atacuri.

4. Utilizați o copie de rezervă pentru a restaura datele

Backup-urile sunt cea mai eficientă modalitate de a recupera datele. Asigurați-vă că păstrați copii de rezervă zilnice sau săptămânale, în funcție de utilizarea datelor.

5. Contactați un serviciu de recuperare a ransomware

Dacă nu aveți o copie de rezervă sau aveți nevoie de ajutor pentru a elimina ransomware-ul și a elimina vulnerabilitățile, contactați un serviciu de recuperare de date. Plata răscumpărării nu garantează că datele dumneavoastră vă vor fi returnate. Singura modalitate garantată în care puteți restaura fiecare fișier este dacă aveți o copie de rezervă a acestuia. Dacă nu o faceți, serviciile de recuperare a datelor ransomware vă pot ajuta să decriptați și să recuperați fișierele. Experții SalvageData vă pot restaura fișierele în siguranță și pot împiedica ransomware-ul LockBit Green să vă atace din nou rețeaua. Contactați experții noștri 24/7 pentru serviciul de recuperare de urgență.

Preveniți atacul ransomware LockBit Green

Prevenirea ransomware-ului este cea mai bună soluție pentru securitatea datelor. este mai ușor și mai ieftin decât recuperarea după ele. Ransomware-ul LockBit Green poate costa viitorul afacerii dvs. și chiar poate să-i închidă porțile. Acestea sunt câteva sfaturi pentru a vă asigura că putețievita atacurile ransomware:

• Instalați software antivirus și anti-malware.
• Folosiți soluții de securitate cibernetică fiabile.
• Utilizați parole puternice și sigure.
• Păstrați software-ul și sistemele de operare la zi.
• Implementați firewall-uri pentru protecție suplimentară.
• Creați un plan de recuperare a datelor.
• Programați în mod regulat backup-uri pentru a vă proteja datele.
• Fiți atenți la atașamentele de e-mail și la descărcările din surse necunoscute sau suspecte.
• Verificați siguranța anunțurilor înainte de a da clic pe ele.
• Accesați site-uri web numai din surse de încredere.

Prin aderarea la aceste practici, vă puteți consolida securitatea online și vă puteți proteja de potențiale amenințări.