ランサムウェアは、個人と組織の両方が直面する最も深刻なデジタル脅威の一つであり続けています。最新の亜種は、ファイルを暗号化するだけでなく、機密情報を盗み出し、被害者に多額の身代金を迫るように設計されています。今日の進化する脅威環境において、常に警戒を怠らず、強固なサイバー衛生を維持し、多層防御を実装することが不可欠です。この分野で最近発生した最も危険なランサムウェアの一つが、LockBit 5.0ランサムウェアです。
LockBit 5.0: 洗練された強力なバージョン
LockBit 5.0は、LockBitランサムウェアファミリーの最新進化版です。LockBit 4.0のコードベースを直接ベースとしながらも、検出と緩和を困難にする改良点が導入されています。実行されると、システム全体のファイルを暗号化し、各ファイル名にランダム化された16文字の一意の拡張子を付加します。例えば、「1.png」というファイルは「1.png.db9785905a3cad2c」になります。暗号化と同時に、「ReadMeForDecrypt.txt」というタイトルの身代金要求メッセージが感染ディレクトリにドロップされます。
身代金要求書には、被害者のファイルとデータが侵害されたことが記されています。通常はTorを介した通信で暗号通貨による支払いを要求し、支払わない場合は盗まれた情報が漏洩すると警告しています。被害者は当局に連絡しないよう強く促されており、攻撃者は恐怖と緊迫感を植え付けようとしています。
洗練された能力と戦術
LockBit 5.0 には、ランサムウェア開発者の成熟度を示す技術的な強化が組み込まれています。
アフィリエート向けのカスタマイズ: ランサムウェアの Windows ビルドは、よりクリーンで柔軟なインターフェイスを提供し、アフィリエートが暗号化方法とターゲットを選択できるようにします。
分析対策技術: マルウェアの研究を妨げるために、特定の Windows トレース機能を無効にします。
クロスプラットフォーム ターゲット: Windows 以外にも、LockBit 5.0 には、仮想化環境全体を暗号化できる危険な Linux および VMware ESXi の亜種が含まれています。
選択的回避: 地理位置情報チェックを実行して、ロシアまたは関連地域にあるシステムを回避します。
LockBit 5.0 はメジャー リリースとして発表されていますが、ハッシュ アルゴリズムや動的 API 解決など、LockBit 4.0 コードの重要な部分を再利用しており、段階的ではありますが危険なアップグレードとなっています。
配布ベクトル：LockBit 5.0の拡散方法
LockBitの運営者は、感染範囲を最大化するために多様な感染方法を利用しています。このランサムウェアは、一般的に以下の方法で拡散されます。
正当な文書を装った悪意のある電子メールの添付ファイルまたはリンク。偽のテクニカル サポート ポータルを含む、詐欺的または侵害された Web サイト。パッチが適用されていないソフトウェアの脆弱性を悪用する。マルバタイジングキャンペーン、海賊版ソフトウェア、違法なキージェネレーター。ピアツーピア ネットワーク、サードパーティのダウンローダー、未検証のアプリ ストア。この多角的なアプローチにより、攻撃者は個人と企業システムの両方を標的にすることができ、被害が広範囲に及ぶ可能性が高まります。
ランサムウェアに対する防御を強化する
LockBit 5.0のような高度なランサムウェアから身を守るには、積極的かつ多層的なセキュリティ対策が必要です。ユーザーと組織は、技術的な安全対策と安全なブラウジングの実践を組み合わせて導入する必要があります。最も効果的な戦略には、以下のようなものがあります。
システムを最新の状態に保つ: オペレーティング システムとソフトウェアのパッチを速やかに適用し、悪用される可能性のある脆弱性を解消します。
強力なエンドポイント保護を使用する: 高度な脅威を識別できる信頼できるウイルス対策およびエンドポイント検出ソリューションを導入します。
電子メールと Web を安全に使用してください。確認されていないソースからの迷惑な添付ファイル、リンク、ダウンロードには注意してください。
オフライン バックアップを維持する: 身代金を支払わずに確実に回復できるよう、重要なファイルを安全なオフラインの場所に保存します。
最小権限アクセスを適用する: ユーザーの権限を制限し、ネットワークをセグメント化して、潜在的なランサムウェアの発生を抑制します。
多要素認証 (MFA) を有効にする: 盗まれた資格情報によるアカウントの侵害を防ぎます。
定期的にユーザーを教育する: フィッシングやソーシャル エンジニアリングの試みを認識できるようにスタッフや個人をトレーニングすることが不可欠です。
最後に
LockBit 5.0は、ランサムウェア集団が最大限の効果を得るためにツールを絶えず改良していることを如実に示しています。環境全体を暗号化し、分析を回避し、被害者に心理的圧力をかける能力は、ランサムウェアを特に破壊的な脅威にしています。最も確実な防御策は、最新のテクノロジー、回復力のあるバックアップ戦略、そしてユーザーの意識向上を組み合わせた予防です。これらの多層的なセキュリティ対策を実施することで、ユーザーと組織は壊滅的なランサムウェア攻撃の被害に遭う可能性を大幅に低減できます。
System Messages
The following system messages may be associated with LockBit 5.0 ランサムウェア:
~~~ You have been attacked by LockBit 5.0 - the fastest, most stable and immortal ransomware since 2019 ~~~~
>>>>> You must pay us.
Tor Browser link where the stolen infortmation will be published:
-
>>>>> What is the guarantee that we won't scam you?
We are the oldest extortion gang on the planet and nothing is more important to us than our reputation. We are not a politically motivated group and want nothing but financial rewards for our work. If we defraud even one client, other clients will not pay us. In 5 years, not a single client has been left dissatisfied after making a deal with us. If you pay the ransom, we will fulfill all the terms we agreed upon during the negotiation process. Treat this situation simply as a paid training session for your system administrators, because it was the misconfiguration of your corporate network that allowed us to attack you. Our pentesting services should be paid for the same way you pay your system administrators' salaries. You can get more information about us on wikipedia hxxps://en.wikipedia.org/wiki/LockBit
>>>>> Warning! Do not delete or modify encrypted files, it will lead to irreversible problems with decryption of files!
>>>>> Don't go to the police or the FBI for help and don't tell anyone that we attacked you. They will forbid you from paying the ransom and will not help you in any way, you will be left with encrypted files and your business will die.
>>>>> When buying bitcoin, do not tell anyone the true purpose of the purchase. Some brokers, especially in the US, do not allow you to buy bitcoin to pay ransom. Communicate any other reason for the purchase, such as: personal investment in cryptocurrency, bitcoin as a gift, paying to buy assets for your business using bitcoin, cryptocurrency payment for consulting services, cryptocurrency payment for any other services, cryptocurrency donations, cryptocurrency donations for Donald Trump to win the election, buying bitcoin to participate in ICO and buy other cryptocurrencies, buying cryptocurrencies to leave an inheritance for your children, or any other purpose for buying cryptocurrency. Also you can use adequate cryptocurrency brokers who do not ask questions for what you buy cryptocurrency.
>>>>> After buying cryptocurrency from a broker, store the cryptocurrency on a cold wallet, such as https://electrum.org/ or any other cold cryptocurrency wallet, more details on https://bitcoin.org By paying the ransom from your personal cold cryptocurrency wallet, you will avoid any problems from regulators, police and brokers.
>>>>> Don't be afraid of any legal consequences, you were very scared, that's why you followed all our instructions, it's not your fault if you are very scared. Not a single company that paid us has had issues. Any excuses are just for insurance company to not pay on their obligation.
>>>>> You need to contact us via TOR sites with your personal ID
Download and install Tor Browser https://www.torproject.org/
Write to the chat room and wait for an answer, we'll guarantee a response from us. If you need a unique ID for correspondence with us that no one will know about, ask it in the chat, we will generate a secret chat for you and give you ID via private one-time memos service, no one can find out this ID but you. Sometimes you will have to wait some time for our reply, this is because we have a lot of work and we attack hundreds of companies around the world.
Tor Browser link for chat with us:
-
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
>>>>> Your personal identifier to communicate with us ID: - <<<<<
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
>>>>> Advertising:
Want a lamborghini, a ferrari and lots of titty girls? Sign up and start your pentester billionaire journey in 5 minutes with us.
-
After registration, you will receive the most flawless and reliable tools for encrypting almost all operating systems on the planet and a platform for negotiating with attacked companies.
Version: ChuongDong v1.01 | x64
Technical Analysis of LockBit 5.0
The LockBit 5.0 Windows version was found to have a better user interface with clean formatting for affiliates compared to previous versions.
It describes various options and settings for executing the ransomware, including basic options like specifying directories to encrypt or bypass, operation modes such as invisible mode and verbose mode, notes settings, encryption settings, filtering options and examples of usage.
"The detailed commands and parameters illustrate the flexibility and customization available to the attacker," the researchers commented.
Upon execution, the ransomware generates its signature ransom note and directs victims to a dedicated leak site. The infrastructure maintains LockBit's established victim interaction model, featuring a streamlined "Chat with Support" section for ransom negotiations.
Notably, the variant adds randomized 16-character file extensions to files following encryption, further complicating recovery. LockBit 5.0 also omits traditional markers at file endings, making analysis harder.
The malware deploys other anti-forensic techniques. This includes patching the EtwEventWrite API by overwriting it with a 0xC3 (return) instruction, disabling Windows Event Tracing capabilities.
As with previous LockBit versions, the new iteration uses geolocation checks, terminating execution when detecting Russian language settings or Russian geolocation.
The features observed in the Windows version were similar to those in the Linux and ESXi variants analyzed.
The ESXi variant specifically targets VMware virtualization infrastructure, which the researchers said represents a "critical escalation" in LockBit's capabilities.
This is because ESXi servers typically host multiple virtual machines, allowing attackers to encrypt entire virtualized environments with a single payload execution.
|
