LockBit 3 ransomware, también conocido como LockBit Black, es una variante del ransomware LockBit. Cifra los archivos y cambia su nombre a una combinación de letras, modifica la extensión de los archivos y también cambia el fondo de pantalla del escritorio. Además, el ransomware LockBit Black agrega un archivo de texto al escritorio llamado [cadena_aleatoria].README.txt. Es un ransomware peligroso que está aumentando sus actividades e infectando más sistemas cada día. En el cuarto trimestre de 2022, LockBit 3 por sí solo fue responsable del 21% de los ataques de ransomware, totalizando40 incidentesSe cree que los hackers de LockBit 3.0 trabajan con afiliados globales. Una de las variantes de LockBit es conocida por apuntar a servidores VMware ESXi (LockBit ESXi), mientras que el grupo recientemente comenzó a apuntar también a macOS.
¿Qué tipo de malware es LockBit 3.0?
LockBit 3.0 es un ransomware, que es un tipo de malware que cifra y bloquea los archivos de las víctimas y luego solicita un rescate a cambio de la clave de descifrado. LockBit 3.0 es la versión más nueva del ransomware LockBit, descubierto por primera vez en marzo de 2022, y lo utilizan los ciberdelincuentes para realizar ataques de extorsión a víctimas desprevenidas. Es más modular y evasivo que las versiones anteriores y comparte similitudes con BlackMatter y otras familias de ransomware. Una vez que LockBit 3.0 se ejecuta en un sistema, examinará automáticamente el sistema en busca de archivos para cifrar y modificar sus nombres con una extensión como .lockbit o .lockedbit en la variante de Linux. Por el contrario, en la variante de Windows, la extensión es una mezcla de caracteres. Luego mostrará una nota de rescate exigiendo el pago a la víctima para que pueda recuperar el acceso a sus datos.
Identificar el ransomware LockBit 3
Puedereconocer el LockBit 3a través de algunos síntomas y signos en su computadora. Tan pronto como se dé cuenta de que es víctima de un ataque cibernético, comuníquese con las autoridades locales de inmediato y desconecte su computadora de Internet, así como también retire cualquier dispositivo de su computadora (como SSD externos o unidades flash).Nombre confirmado
- Virus LockBit 3.0
Tipo de amenaza
- ransomware
- Virus criptográfico
- casillero de archivos
Extensión de archivos cifrados
- Extensión generada aleatoriamente
Mensaje exigente de rescate
- [cadena_aleatoria].README.txt
¿Existe un descifrador gratuito disponible?
- No, no existe una clave de descifrado pública para LockBit 3
Nombres de detección
- avastWin32: CryptorX-gen [Trj]
- EmsisoftGen:Trojan.Heur.UT.kuW@aG4Vbyc (B)
- KasperskyUDS:Trojan.Multi.GenericML.xnet
- MalwarebytesRescate.LockBit
- microsoftTroyano:Win32/Casdet!rfn
- SofosTroj/Lockbit-F
Síntomas
- No puedo abrir archivos almacenados en su computadora
- Nuevas extensiones de archivos
- Un mensaje de demanda de rescate en su escritorio
- Archivos renombrados con letras aleatorias.
Familia, tipo y variante de ransomware
- Lockbit 3.0 también se conoce como LockBit Black
- Es parte de la familia de malware LockerGoga y MegaCortex.
- Es una nueva variante del ransomware LockBit
- Este es un tipo de ransomware BlackMatter
Métodos de distribución
- Archivos adjuntos de correo electrónico infectados (correos electrónicos de phishing)
- Sitios web de torrents (enlaces o archivos infectados)
- Anuncios maliciosos (publicidad maliciosa)
Consecuencias
- Archivos bloqueados
- Contraseñas robadas
- Violación de datos
Prevención
- Antivirus y antimalware
- Software actualizado
- Sistema operativo (SO) actualizado
- Cortafuegos
- No abra un archivo adjunto de correo electrónico de una fuente desconocida
- No descargue archivos de sitios web sospechosos
- No haga clic en anuncios a menos que esté seguro de que es seguro
- Acceda únicamente a sitios web de fuentes confiables
Dominios maliciosos del ransomware LockBit 3.0:
- https://www.premiumize[.]com
- https://archivosanon[.]com
- https://www.sendspace[.]com
- https://fex[.]net
- https://transferencia[.]sh
- https://enviar.exploit[.]en
- *https://lockbitapt2d73krlbewgv27tquljgxr33xbwwsp6rkyieto7u4ncead.onion/
*Dominio del grupo de hackers accesible únicamente a través del navegador Tor.
¿Cómo infectó LockBit 3 su computadora?
Como ocurre con cualquier ciberataque, LockBit 3 tiene muchas formas de ingresar a su sistema y robar y bloquear sus datos. La mayoría de las veces, el error humano es responsable de la infección. Por ejemplo, cuando usted o un empleado inconsciente hace clic en un enlace de correo electrónico o descarga su archivo adjunto. Muchos piratas informáticos utilizan correos electrónicos de phishing que se hacen pasar por legítimos para engañar a las víctimas y convencerlas de que hagan clic en el archivo adjunto. Una buena forma de evitar estos correos electrónicos es utilizar un proveedor de correo electrónico que bloquee la llegada de correos electrónicos maliciosos. Además, busque errores gramaticales, no solo errores tipográficos. La mayoría de los correos electrónicos falsos tienen errores gramaticales que se pueden detectar fácilmente. Los archivos y software piratas también pueden ser la puerta de entrada al ransomware. Además, la piratería de películas, música y software es ilegal y éticamente reprobable. Otra forma en la que se producen los ataques LockBit 3 es a través de servicios remotos externos no seguros. Los atacantes aprovecharán la herramienta del Protocolo de escritorio remoto (RDP) cuyas credenciales son conocidas, reutilizadas, débiles o reformuladas para obtener acceso a las redes empresariales y filtrar datos. Los piratas informáticos también utilizan software con vulnerabilidades conocidas para atacar a las empresas. Por eso es muy importante mantener actualizado todo el software y proteger las herramientas de administración remota como RDP.
Cifrado LockBit 3 y nota de rescate
La nota de rescate de LockBit 3 no solo indica que los datos son robados y encriptados, sino que también advierte que si las víctimas no pagan el rescate, el grupo atacante publicará los datos en la red oscura (en un sitio web Tor). El texto también indica que se comuniquen con los atacantes utilizando los sitios web proporcionados y una identificación personal. Después de ser atacado por el ransomware LockBit 3, podrá ver la siguiente carta como un archivo de texto en su escritorio:
~~~ LockBit 3.0, el ransomware más rápido y estable del mundo de 2019~~~
>>>>> Tus datos son robados y encriptados.
Si no paga el rescate, los datos se publicarán en nuestros sitios TOR darknet. Tenga en cuenta que una vez que sus datos aparecen en nuestro sitio de filtración, sus competidores podrían comprarlos en cualquier momento, así que no lo dude por mucho tiempo. Cuanto antes pague el rescate, antes su empresa estará a salvo.
No pagues el rescate. Además de ser ilegal, pagar el rescate tiene graves consecuencias como sanciones, además de tener la cuestión moral y ética de financiar actividades criminales. Pagando el rescateno garantiza que obtendrás la clave o que funcionará.
¿Cómo funciona LockBit 3?
El ransomware LockBit 3 actúa en tres etapas: explotar, infiltrarse e implementar.
1. Explotar
La primera etapa es explotar las debilidades de la red. Cualquier vulnerabilidad, como un RDP abierto y un software de seguridad no actualizado, es una puerta de entrada para los ciberataques. Además, los correos electrónicos de phishing y la publicidad maliciosa son otras formas en que los ciberatacantes explotan las vulnerabilidades.
2. Infiltrarse
En esta etapa, LockBit 3 infectará cualquier otra máquina conectada. Por lo tanto, elimine cualquier dispositivo conectado a la máquina infectada y desbloquéelo de Internet para frenar el malware. Se propagará a través de la red mediante movimiento lateral y alcanzará un nivel de acceso listo para atacar. Durante la fase de infiltración, los actores de LockBit 3 recopilan información, escalan privilegios, se mueven lateralmente en la red y extraen datos.
3. Implementar
Durante esta etapa, LockBit 3.0 elimina los puntos de restauración y las copias de seguridad, detiene servicios específicos y luego comienza a bloquear y cifrar cada archivo. LockBit 3 es uno de los ransomware más rápidos disponibles y cifrará sus datos muy rápidamente.El objetivo es imposibilitar la recuperación o retrasarla, provocando largos períodos de inactividad que pueden dañar la reputación de su empresa e incluso arruinarla.En este punto, podrás ver tanto la nota de rescate como el fondo de pantalla. Ahora es el momento de decidir si seguirás las demandas de los delincuentes (que no son recomendables) o seguirás los pasos para recuperar de forma segura tus archivos cifrados.
Prevenir el ataque de ransomware LockBit 3
Ya mencionamos varias formas de prevenir los ataques de ransomware LockBit 3. Aquí hay una lista completa de qué hacer para mantener seguros sus datos y su negocio.Puede prevenir el ransomware eliminando las debilidades.Para ello, puede mantener todo el software actualizado y crear conciencia sobre la ciberseguridad capacitando a su equipo sobre las ciberamenazas.
Más información:LockBit Ransomware: una guía completa sobre la amenaza cibernética más prolífica
1. Utilice contraseñas seguras
Utilice siempre contraseñas seguras y únicas para cada cuenta y compártalas solo con las personas necesarias. Por ejemplo, si un empleado no necesita una cuenta de sitio web o software para su trabajo, no necesita acceso a ellos. Esto puede garantizar que solo el personal autorizado accederá a cada cuenta de la empresa.
2. Aplicar autenticación multifactor
Puede utilizar la autenticación de dos factores o el desbloqueo biométrico para garantizar que solo las personas autorizadas tengan acceso a carpetas, dispositivos o cuentas.
3. Borrar cuentas de usuario obsoletas y no utilizadas
Las cuentas no utilizadas son vulnerabilidades que los piratas informáticos pueden aprovechar. Desactivar y cerrar cuentas no utilizadas, así como aquellas utilizadas por empleados anteriores.
4. Mantenga el software actualizado
Como ya hemos mencionado, el software obsoleto es un punto débil. Esto se debe a que las nuevas actualizaciones pueden crear protección contra nuevos tipos de malware, como LockBit 3.
5. Programe copias de seguridad periódicas
Mantenga al menos tres copias de sus datos, teniendo al menos una almacenada fuera de línea y fuera del sitio. Esto puede garantizar que, incluso si sufre un desastre, ya sea natural o provocado por el hombre (como el ransomware), sus datos siempre estarán seguros. Las copias de seguridad periódicas pueden evitar tiempos de inactividad y garantizar que nunca pierda datos confidenciales.
6. Utilice una solución de ciberseguridad
Puedes contar con un equipo de TI para garantizar la seguridad de tu negocio o contratar un servicio de ciberseguridad. De cualquier manera, debes buscar vulnerabilidades en la red, como puertas traseras, kits de exploits y software de youtube.
7. Tenga un plan de recuperación a mano
Los planes de recuperación de datos son documentos que funcionan como guías sobre qué hacer en caso de un desastre. Esto puede ayudarle a restaurar su negocio de forma más rápida y segura. Vea cómo crear un plan de recuperación de datos con nuestra guía detallada.
Cómo manejar el ataque LockBit 3
El primer paso para recuperarse del ataque LockBit 3 esaislar la computadora infectadadesconectándote de Internet y eliminando cualquier dispositivo conectado. Entonces, debescontactar a las autoridades locales. En el caso de los residentes y empresas estadounidenses, es eloficina local del FBIy elCentro de denuncias de delitos en Internet (IC3).Para informar un ataque de ransomware, debe recopilar toda la información que pueda al respecto, incluida:
- Capturas de pantalla de la nota de rescate
- Comunicaciones con actores LockBit 3.0 (si los tienes)
- Muestra de un archivo cifrado
También debes investigar la extensión del ransomware en tu red. Para hacerlo, puede crear una investigación forense y ver si se extrajo algún dato. Un servicio de recuperación de ransomware puede ayudarle con esta investigación.No debes eliminar el ransomware.y conservar todas las pruebas del ataque. Esto es importante para la ciencia forense digital, de modo que los expertos puedan rastrear hasta el grupo de piratas informáticos e identificarlos. Está utilizando los datos de su sistema infectado para que las autoridades puedan investigar el ataque y encontrar al responsable. Una investigación de un ciberataque no es diferente de cualquier otra investigación criminal: necesita pruebas para encontrar a los atacantes. Después de aislar el dispositivo y contactar a las autoridades, debes seguir los siguientes pasos para recuperar tus datos:
1. Comuníquese con su representante de respuesta a incidentes
Una respuesta a un incidente cibernético es el proceso de responder y gestionar un incidente de ciberseguridad. Un anticipo de respuesta a incidentes es un acuerdo de servicio con un proveedor de ciberseguridad que permite a las organizaciones obtener ayuda externa con incidentes de ciberseguridad. Proporciona a las organizaciones una forma estructurada de experiencia y soporte a través de un socio de seguridad, lo que les permite responder de manera rápida y efectiva en caso de un incidente cibernético. Un anticipo de respuesta a incidentes ofrece tranquilidad a las organizaciones, ofreciendo soporte experto antes y después de un incidente de seguridad cibernética. La naturaleza y estructura específicas de un contrato de respuesta a incidentes variarán según el proveedor y los requisitos de la organización. Un buen contrato de respuesta a incidentes debe ser sólido pero flexible y brindar servicios probados para mejorar la postura de seguridad a largo plazo de una organización.
2. Identificar la infección ransomware
Puede verificar qué ransomware infectó su máquina por la extensión del archivo (algunos ransomware usan la extensión del archivo como nombre), o estará en la nota de rescate. Con esta información, puede buscar una clave de descifrado pública. Sin embargo, LockBit 3 aún no lo tiene.
3. Eliminar el ransomware y eliminar los kits de exploits
Antes de recuperar sus datos, debe garantizar que su dispositivo esté libre de ransomware y que los atacantes no puedan realizar un nuevo ataque a través de kits de exploits u otras vulnerabilidades. Un servicio de eliminación de ransomware puede eliminar el ransomware, crear un documento forense para su investigación, eliminar vulnerabilidades y recuperar sus datos.
4. Utilice una copia de seguridad para restaurar los datos.
Las copias de seguridad son la forma más eficiente de recuperar datos. Asegúrese de realizar copias de seguridad diarias o semanales, según su uso de datos.
5. Póngase en contacto con un servicio de recuperación de ransomware
Si no tiene una copia de seguridad o necesita ayuda para eliminar el ransomware y eliminar las vulnerabilidades, debe comunicarse con un servicio de recuperación de datos. Los expertos de SalvageData pueden restaurar sus archivos de manera segura y garantizar que Clop ransomware no vuelva a atacar su red. Los expertos de SalvageData pueden restaurar sus archivos de manera segura y garantizar que LockBit 3 ransomware no vuelva a atacar su red. Comuníquese con nuestros expertos las 24 horas del día, los 7 días de la semana para obtener un servicio de recuperación de emergencia o encuentre un centro de recuperación cerca de usted.
