LockBit ransomware se ha convertido en una de las amenazas cibernéticas más peligrosas y prolíficas de los últimos años. Utilizando un modelo de ransomware como servicio (RaaS), LockBit se ha dirigido a miles de organizaciones en todo el mundo, causando miles de millones de dólares en daños y extorsiones.Según el Departamento de Justicia, más de 120 millones de dólares en pagos de rescate..Apareció por primera vez enseptiembre 2019, LockBit evolucionó rápidamente hasta convertirse en una cepa de malware sofisticada y altamente adaptable. Su éxito se puede atribuir a varios factores:
- Una interfaz fácil de usar que permite incluso a los afiliados menos capacitados técnicamente implementar ataques
- Estructuras de pago innovadoras que incentivan a los afiliados a unirse a la operación
- Desarrollo y mejora constante del código ransomware.
- Tácticas de marketing agresivas en foros de ciberdelincuentes
En junio de 2024, elEl FBI anunció que había obtenido más de 7.000 claves de descifrado del ransomware LockBit. Se insta a las víctimas a que se comuniquen con el Centro de denuncias de delitos en Internet (IC3) del FBI para obtener ayuda para recuperar datos cifrados. En diciembre de 2024,Las autoridades arrestaron al desarrollador de Lockbit en Israel.. Rostislav Panev, de 51 años, ha estado involucrado en ransomware desde sus inicios en 2019 y se enfrenta a la extradición a Estados Unidos.
Variantes de LockBit
La operación LockBit ha lanzado varias variantes a lo largo del tiempo, cada una con capacidades mejoradas:
Lea también:Alpha Ransomware: cómo manejar la nueva amenaza cibernética
- ABCD ransomware (septiembre de 2019): el predecesor de LockBit
- LockBit 2.0 / LockBit Red (junio de 2021): se presentó StealBit, una herramienta integrada de robo de información
- LockBit Linux-ESXi Locker (octubre de 2021): capacidades ampliadas para apuntar a sistemas Linux y VMware ESXi
- LockBit 3.0/LockBit Black (marzo de 2022): similitudes compartidas con el ransomware BlackMatter y Alphv
- LockBit Green (enero de 2023): código fuente incorporado del ransomware Conti
- LockBit macOS (abril de 2023): cifradores dirigidos a sistemas macOS
Ataques principales de LockBit
Desde sus inicios, LockBit ha sido responsable de numerosos ataques de alto perfil en varios sectores. Algunos incidentes notables incluyen:
- Hospital de Niños Lurie en Chicago(Febrero de 2024): el ataque obligó al hospital a desconectar sus sistemas de TI, lo que interrumpió las operaciones normales y retrasó la atención al paciente.
- Hospital San Antonio de Chicago(Diciembre de 2023) – LockBit exigió un rescate de casi 900.000 dólares y publicó la información del hospital en el sitio de la filtración.
Impacto global
El FBI informa que LockBit ha atacado aproximadamente 1.700 organizaciones en los Estados Unidos desde 2020, y las víctimas pagaron alrededor de 91 millones de dólares en rescate. A nivel mundial, LockBit se ha cobrado más de 2.000 víctimas y recibió más de 120 millones de dólares en pagos de rescate.
Métodos de infección y ejecución de LockBit ransomware
Los afiliados de LockBit emplean varias tácticas para obtener acceso inicial a las redes de víctimas:
Acceso inicial
Los afiliados de LockBit emplean una variedad de tácticas sofisticadas para obtener acceso inicial a las redes de las víctimas. Uno de los métodos más comunes es a través de correos electrónicos de phishing, que contienen archivos adjuntos o enlaces maliciosos que, cuando se abren o se hace clic en ellos, implementan el ransomware en el sistema de destino. Otro enfoque utilizado con frecuencia es la explotación de vulnerabilidades de software sin parches, aprovechando las organizaciones que necesitan mantener sus sistemas actualizados con los últimos parches de seguridad. También son frecuentes los ataques de fuerza bruta a conexiones de protocolo de escritorio remoto (RDP), en los que los atacantes utilizan herramientas automatizadas para adivinar contraseñas débiles o de uso común. Además, algunos afiliados compran credenciales de acceso robadas de otros ciberdelincuentes en foros de la web oscura, lo que les proporciona un punto de entrada directo a las redes comprometidas.
Actividades posteriores a la explotación
Una vez que los afiliados de LockBit se han infiltrado con éxito en una red, siguen un enfoque sistemático para maximizar el impacto de su ataque. El primer paso normalmente implica una escalada de privilegios, donde los atacantes buscan obtener derechos de acceso de nivel superior dentro del sistema, a menudo apuntando a cuentas de administrador. A esto le sigue el reconocimiento de la red, durante el cual trazan la arquitectura de la red e identifican objetivos valiosos, como servidores críticos o bases de datos que contienen información confidencial. Luego, los atacantes realizan movimientos laterales, extendiéndose por la red para infectar múltiples sistemas y expandir su control. Antes de iniciar el proceso de cifrado, los operadores de LockBit suelen filtrar datos confidenciales, lo que sirve como palanca para sus demandas de extorsión. La siguiente fase implica cifrar archivos y sistemas utilizando algoritmos de cifrado sólidos, bloqueando efectivamente a la víctima fuera de sus datos. Finalmente, los atacantes entregan una nota de rescate que contiene instrucciones de pago y amenazas, iniciando así la extorsión.
Tácticas de doble extorsión
LockBit ha perfeccionado su enfoque empleando una estrategia de doble extorsión, aumentando significativamente la presión sobre las víctimas para que paguen el rescate. La extorsión principal consiste en exigir un rescate para descifrar los archivos bloqueados, que es el modelo tradicional de ransomware. Sin embargo, LockBit va un paso más allá con la extorsión secundaria. En esta fase, los atacantes amenazan con publicar los datos robados en sitios filtrados si no se paga el rescate. Esta capa adicional de extorsión explota el miedo de la víctima a la exposición de sus datos, al daño a su reputación y a las posibles consecuencias legales. Al aprovechar tanto la inaccesibilidad de datos cruciales como la amenaza de su divulgación pública, LockBit aumenta significativamente la probabilidad de pago de rescate, haciendo que sus operaciones sean más lucrativas y devastadoras para sus víctimas.
Indicadores de compromiso (IOC) de LockBit Ransomware
Los indicadores de compromiso (IOC) son artefactos observados en una red o en un sistema operativo que indican una intrusión informática con alta confianza. Los IOC se pueden utilizar para detectar futuros intentos de ataque de manera temprana utilizando sistemas de detección de intrusiones y software antivirus. Para identificar una infección LockBit, las organizaciones deben buscar los siguientes indicadores:
Extensiones de archivos
- .abcd (primeras versiones)
- .LockBit (versiones posteriores)
Nota de rescate
- “Restore-My-Files.txt”: normalmente se deja en cada carpeta cifrada
Hashes de archivos (SHA256)
Algunos ejemplos de hashes de archivos asociados con el ransomware LockBit:
- 74d9a91c4e6d2c15f3b6f8e7679e624f
- a3f2e7cb7315c1e48801cb8c6a86d2d2
- b8eac9e84b458976f3944bb56b18031d
Indicadores de comportamiento
- Incapacidad repentina para acceder a archivos o sistemas.
- Actividad de red inusual o transferencias de datos.
- Aparición de notas de rescate en sistemas infectados.
- Apagados o reinicios inesperados del sistema.
Cómo manejar un ataque de ransomware LockBit
El paso inicial para abordar un ataque de ransomware LockBit es aislar el dispositivo infectado desconectándolo de Internet y desconectando cualquier periférico conectado. Después de esto, es fundamental notificar a las autoridades locales. Esto incluye elFBIy elCentro de denuncias de delitos en Internet (IC3)para individuos y empresas en los Estados Unidos. Para informar un incidente de malware, recopile toda la información pertinente, incluida:
- Capturas de pantalla de la nota de rescate
- Cualquier comunicación con los atacantes (si está disponible)
- Una muestra de un archivo cifrado
Si prefiere asistencia profesional, deje intactos todos los dispositivos infectados y busque un servicio de eliminación de ransomware de emergencia. Los expertos en este campo pueden mitigar eficazmente los daños, reunir pruebas, revertir el cifrado y restaurar su sistema. Reiniciar o apagar el dispositivo infectado puede poner en peligro los esfuerzos de recuperación. Capturar la RAM de un sistema activo puede ayudar a obtener la clave de cifrado, mientras que identificar un archivo dropper (responsable de ejecutar la carga maliciosa) puede permitir la ingeniería inversa, lo que lleva al descifrado de datos o a información sobre el funcionamiento del malware. No elimine el ransomware; conservar todas las pruebas del ataque. Esto es vital para que los especialistas en forense digital rastreen e identifiquen al grupo de piratas informáticos. Los datos de su sistema comprometido son esenciales para que las autoridades investiguen el incidente. Al igual que otras investigaciones penales, las investigaciones de ataques cibernéticos requieren pruebas para identificar a los perpetradores.
1. Comuníquese con su proveedor de respuesta a incidentes
La respuesta a incidentes cibernéticos abarca las estrategias para gestionar y responder a incidentes de ciberseguridad. Un anticipo de respuesta a incidentes es un acuerdo de servicio con una empresa de ciberseguridad que permite a las organizaciones recibir asistencia externa durante dichos incidentes. Este acuerdo proporciona experiencia estructurada y apoyo de un socio de seguridad, lo que facilita una respuesta rápida y efectiva durante una crisis cibernética. Tener un contrato de respuesta a incidentes tranquiliza a las organizaciones, garantizando soporte experto antes y después de un incidente de ciberseguridad. Los detalles específicos de un anticipo de respuesta a incidentes pueden variar según el proveedor y las necesidades de la organización. Un anticipo eficaz debe ser sólido y adaptable, y ofrecer servicios comprobados para reforzar la postura de seguridad a largo plazo de una organización. Al comunicarse con su proveedor de servicios de respuesta a incidentes, este puede hacerse cargo de inmediato y guiarlo a través del proceso de recuperación de ransomware. Sin embargo, si gestiona la eliminación de malware y la recuperación de archivos internamente con su equipo de TI, puede continuar con los siguientes pasos.
2. Utilice una copia de seguridad para restaurar los datos.
No se puede subestimar la importancia de las copias de seguridad en la recuperación de datos, especialmente en lo que respecta a diversos riesgos y amenazas a la integridad de los datos. Las copias de seguridad son un elemento vital de una estrategia integral de protección de datos. Permiten la recuperación de numerosas amenazas, garantizan la continuidad operativa y salvaguardan información valiosa. En un ataque de ransomware, donde el software malicioso cifra sus datos y exige un pago por su liberación, una copia de seguridad le permite restaurar su información sin ceder a las demandas de los atacantes. Pruebe y actualice periódicamente sus procedimientos de copia de seguridad para mejorar su eficacia frente a posibles escenarios de pérdida de datos. Elija el medio de copia de seguridad adecuado y asegúrese de que al menos una copia de sus datos esté almacenada fuera del sitio y fuera de línea.
3. Póngase en contacto con un servicio de recuperación de malware
Comuníquese con un servicio de recuperación de datos si carece de una copia de seguridad o necesita ayuda para eliminar malware y vulnerabilidades. Pagar el rescate no garantiza la recuperación de datos. El único método seguro para restaurar todos los archivos es mediante una copia de seguridad. Si no hay una copia de seguridad disponible, los servicios de recuperación de datos de ransomware pueden ayudar a descifrar y recuperar sus archivos.
Prevenir el ataque del ransomware LockBit
Prevenir el ransomware es la mejor solución para la seguridad de los datos. Es más fácil y económico que recuperarse de ello. LockBit Ransomware puede costarle el futuro a su empresa e incluso cerrar sus puertas. A continuación se ofrecen varios consejos que le ayudarán a evitar ataques de malware:
- Mantén tu sistema operativo y software actualizadoscon los últimos parches y actualizaciones de seguridad para prevenir vulnerabilidades que los atacantes puedan aprovechar.
- Para reducir el riesgo de acceso no autorizado, utilice contraseñas seguras y únicaspara todas las cuentas y habilite la autenticación de dos factores siempre que sea posible.
- Tenga cuidado con correos electrónicos, enlaces y archivos adjuntos sospechosos.Evite abrir correos electrónicos o hacer clic en enlacesde fuentes desconocidas o dudosas.
- Utilice personas de buena reputaciónantivirus y antimalwaresoftware, actualizándolo periódicamente para detectar y eliminar malware antes de que pueda causar daños.
- Implemente un firewall para bloquear el acceso no autorizado a su red y sistemas.
- Emplearsegmentación de reddividir una red más extensa en subredes más pequeñas con interconectividad limitada, restringiendo el movimiento lateral de los atacantes e impidiendo el acceso no autorizado a datos confidenciales.
- Limitar los privilegios de usuariopara minimizar el riesgo de que los atacantes accedan a datos y sistemas confidenciales.
- Capacitar a los empleadospara reconocer y evitar correos electrónicos de phishing y otras tácticas de ingeniería social.
