LockBit si evolve in LockBit 3.0. Aggiunto un bug bounty program

La banda di Lockbit Ransomware, nota anche come Bitwise Spider, è una delle bande di ransomware più attive e popolari. Il 16 marzo 2022, hanno iniziato ad annunciare continuamente nuove vittime sul loro sito underground molto più velocemente di qualsiasi gruppo di ransomware. SOCRadar ha rilevato più di 22 vittime riportate nel loro data leak site (DLS) in 48 ore.

LockBit ha iniziato le sue operazioni a settembre 2019 chiamandosi ABCD per poi cambiare il loro nome in Lockbit. Hanno cambiato il marchio e sono tornati con un ransomware ancora migliore a giugno 2021, come Lockbit 2.0.

Abbiamo visto che il ransomware Lockbit 2.0 ha introdotto nuove funzionalità come la copia shadow e l’eliminazione dei file di registro per rendere più difficile il recupero per le vittime. Inoltre, Lockbit ha la velocità di crittografia più elevata tra le bande di ransomware più popolari, con circa 25mila file crittografati in meno di un minuto.

Ma ora la cybergang vuole fare molto ma molto di più.

Ne aveva anticipato la notizia il canale twitter vx-underground recentemente con degli screenshot che riportavano che LockBit 3.0 sarebbe stato rilasciato al più presto, ma oggi possiamo finalmente vedere in cosa consiste.

Intanto accedendo al data leak site (DLS), il sito si mostra in maniera completamente diversa e totalmente rinnovata.

La prima cosa che salta all’occhio è l’aggiunta di una icona Twitter (anche se non si tratta del loro canale ma solo un modo per ricercare le fonti), mentre la seconda è un programma denominato “Web security & Bug Bounty”.

Al momento sembra che non ci siano vittime all’interno del sito, anche se viene mantenuta la versione vecchia per le vittime violate prima della data del rilascio della versione 3.0

La sezione Bug Bounty Program

Si tratta di un programma di Bug Bounty privato, dove è possibile segnalare dei bug e ricevere delle ricompense.

Il programma si articola nelle seguenti macro aree:

• Web Site Bug: Vulnerabilità XSS, sql injection in MySQL, ottenere una shell sul sito e altro, verranno pagati a seconda della gravità del bug, la direzione principale è evitare di ottenere un decryptor tramite il sito, nonché l’accesso alla cronologia delle corrispondenze crittografate con le aziende.
• Bug nella cifratura: Eventuali errori durante la crittografia da parte del malware che portano a file danneggiati o alla possibilità di decrittografare i file senza ottenere un decryptor.
• Idee brillanti: Paghiamo per le idee, scrivici come migliorare il nostro sito e il nostro software, le idee migliori saranno pagate. Cosa c’è di così interessante nei nostri concorrenti che non abbiamo?
• Doxing: Paghiamo esattamente un milione di dollari, né più né meno, per il doxing del capo del programma di affiliazione. Che tu sia un agente dell’FBI o un hacker molto intelligente che sa come trovare chiunque, puoi scriverci un messaggero TOX e ottenere $ 1 milione in bitcoin o monero per questo.
• Vulnerabilità del Messanger TOX: Paghiamo una taglia per le vulnerabilità che consentono di intercettare la corrispondenza, eseguire malware, determinare l’indirizzo IP dell’interlocutore e altre vulnerabilità interessanti.
• Rete Tor: Paghiamo una taglia per eventuali vulnerabilità che aiutano a ottenere l’indirizzo IP del server in cui è installato il sito sul dominio onion, nonché l’accesso come root ai nostri server, seguito da un dump del database e dai domini onion.

Come una grande azienda consapevole del rischio informatico, Lockbit avvia un programma di bug bounty sulle sue infrastrutture puntando a fare community con i ricercatori di bug per rendere le proprie risorse sempre più sicure e resilienti ad un eventuale attacco informatico.

Questo lo fa attraverso una piattaforma di bug bounty sugli strumenti che utilizza e soprattutto per risolvere i bug delle piattaforme che tutelino al massimo il loro anonimato come la rete TOR e il messenger TOX.

Gli specialisti della sicurezza delle informazioni e i cacciatori di bug sono scettici sulla dichiarazione degli hacker. Dubitano fortemente della realtà dei pagamenti per le vulnerabilità rilevate e non pensano che Bug Bounty di LockBit attirerà molte persone che vogliono guadagnare denaro extra.

La sezioni affiliati

In questa sezione LockBit Riporta quanto segue:

Il più antico programma di affiliazione LockBit internazionale [Ransomware] ti dà il benvenuto.

Ci troviamo nei Paesi Bassi, completamente apolitici e interessati solo al denaro.
Abbiamo sempre un numero illimitato di affiliati, spazio sufficiente per tutti i professionisti. Non importa in quale paese vivi, che tipo di lingua parli, che età hai, in quale religione credi, chiunque sul pianeta può lavorare con noi in qualsiasi momento dell'anno.

Innanzitutto, stiamo cercando team di penetration tester coesi ed esperti.

Nel secondo turno siamo pronti a lavorare con i broker di accesso: vendita o su una percentuale di riscatto, ma devi fidarti completamente di noi. Forniamo un processo completamente trasparente: puoi controllare la comunicazione con la vittima. Nel caso in cui l'azienda sia stata crittografata e non abbia pagato, vedrai i dati rubati nel blog.

Lavoriamo anche con chi non cripta le reti, ma vuole solo vendere i dati rubati, pubblicandoli sul più grande blog del pianeta.

La sezione contatti

Anche la sezione contatti è completamente rinnovata dove viene riportato:

Puoi contattare l'amministratore di sistema principale ai contatti sottostanti, l'attesa di una risposta può richiedere del tempo da 1 minuto a diversi giorni a seconda del carico di lavoro.

Le domande sulla decrittazione sono da scrivere solo nella chat del sito, se la persona che ha crittografato la tua rete non ti risponde per più di due giorni o hai altri problemi, puoi contattarmi.

Per favore, scrivi un singolo messaggio e indica l'intero punto, non scrivere solo "ciao", "qui?", "posso farti una domanda?" e altri messaggi simili.

PGP KEY, per la crittografia di alcuni messaggi o file molto importanti, la chiave privata è nelle mani di una persona, su un computer crittografato del principale sviluppatore e organizzatore del programma di affiliazione, senza accesso a Internet, PGP KEY non è mai stato trasferito e non sarà trasferito ad altre persone.

Il principale canale di comunicazione è un messenger TOX, il canale di comunicazione di riserva, in caso di problemi con TOX è un messenger Sonar nel browser Tor.

L’acquisto di Bitcoin

Anche questa sezione è una nuova funzionalità del sito introdotta nel nuovo LockBit 3.0

Data Leak Site (DLS)

Dalle prime vittime che sono state pubblicate nel Data Leak Site di LockBit, sembra che le tecniche e tattiche di estorsione siano completamente cambiate rispetto alle precedenti.

LockBit, nella versione 3.0 del loro DLS introduce ulteriori modalità di monetizzazione e relativa pressione verso le vittime e sono:

• Estendi il “countdown”: la vittima può pagare dei soldi per estendere il countdown per la pubblicazione dei dati;
• Distruggi tutte le informazioni: la vittima può pagare per distruggere tutte le informazioni esfiltrate dalla sua organizzazione;
• Scarica i dati in qualsiasi momento: la vittima può pagare per ottenere l’accesso al download esclusivo di tutti i dati esfiltrati dell’azienda.

Ovviamente il costo per ogni tipologia di “servizio” è differente, come potete vedere nella schermata sotto riportata e si può pagare in Bitcoin o in Monero.

AL momento LockBit sta mantenendo attivi entrambi i DLS. Il vecchio dove ancora si stanno ultimando le transazioni con le aziende vittime del ransomware, mentre il nuovo, riporta gli ultimi hack e i countdown in corso.

Ricordiamo che le aziende che vengono pubblicate, non hanno accettato di pagare il riscatto, pertanto la pubblicazione con il relativo countdown significa aumentare la pressione verso l’aziende tentando la monetizzazione, aggiungendo ulteriore forme di servizi.

Dopo la scomparsa di Conti, LockBit 2.0 ha iniziato a dominare l’arena dei criminali informatici ed è stato responsabile del 40% di tutti gli attacchi ransomware di maggio.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Pietro Melillo

Membro e Riferimento del gruppo di Red Hot Cyber Dark Lab, è un ingegnere Informatico specializzato in Cyber Security con una profonda passione per l’Hacking e la tecnologia, attualmente CISO di WURTH Italia, è stato responsabile dei servizi di Cyber Threat Intelligence & Dark Web analysis in IBM, svolge attività di ricerca e docenza su tematiche di Cyber Threat Intelligence presso l’Università del Sannio, come Ph.D, autore di paper scientifici e sviluppo di strumenti a supporto delle attività di cybersecurity. Dirige il Team di CTI "RHC DarkLab"

Aree di competenza: Cyber Threat Intelligence, Ransomware, Sicurezza nazionale, Formazione