Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

LockBit si evolve in LockBit 3.0. Aggiunto un bug bounty program

Redazione RHC : 27 Giugno 2022 09:00

La banda di Lockbit Ransomware, nota anche come Bitwise Spider, è una delle bande di ransomware più attive e popolari. Il 16 marzo 2022, hanno iniziato ad annunciare continuamente nuove vittime sul loro sito underground molto più velocemente di qualsiasi gruppo di ransomware. SOCRadar ha rilevato più di 22 vittime riportate nel loro data leak site (DLS) in 48 ore.

LockBit ha iniziato le sue operazioni a settembre 2019 chiamandosi ABCD per poi cambiare il loro nome in Lockbit. Hanno cambiato il marchio e sono tornati con un ransomware ancora migliore a giugno 2021, come Lockbit 2.0.

Abbiamo visto che il ransomware Lockbit 2.0 ha introdotto nuove funzionalità come la copia shadow e l’eliminazione dei file di registro per rendere più difficile il recupero per le vittime. Inoltre, Lockbit ha la velocità di crittografia più elevata tra le bande di ransomware più popolari, con circa 25mila file crittografati in meno di un minuto.

Vorresti toccare con mano la Cybersecurity e la tecnologia? Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)

Se sei un ragazzo delle scuole medie, superiori o frequenti l'università, oppure banalmente un curioso di qualsiasi età, il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:

  • Creare Un Sistema Ai Di Visual Object Tracking (Hands on)
  • Social Engineering 2.0: Alla Scoperta Delle Minacce DeepFake
  • Doxing Con Langflow: Stiamo Costruendo La Fine Della Privacy?
  • Come Hackerare Un Sito WordPress (Hands on)
  • Il Cyberbullismo Tra Virtuale E Reale
  • Come Entrare Nel Dark Web In Sicurezza (Hands on)

  • Potete iscrivervi gratuitamente all'evento, che è stato creato per poter ispirare i ragazzi verso la sicurezza informatica e la tecnologia.
    Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765


    Supporta RHC attraverso:


    Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

    Ma ora la cybergang vuole fare molto ma molto di più.

    Ne aveva anticipato la notizia il canale twitter vx-underground recentemente con degli screenshot che riportavano che LockBit 3.0 sarebbe stato rilasciato al più presto, ma oggi possiamo finalmente vedere in cosa consiste.

    Fonte vx-underground

    Intanto accedendo al data leak site (DLS), il sito si mostra in maniera completamente diversa e totalmente rinnovata.

    La prima cosa che salta all’occhio è l’aggiunta di una icona Twitter (anche se non si tratta del loro canale ma solo un modo per ricercare le fonti), mentre la seconda è un programma denominato “Web security & Bug Bounty”.

    Al momento sembra che non ci siano vittime all’interno del sito, anche se viene mantenuta la versione vecchia per le vittime violate prima della data del rilascio della versione 3.0

    Schermata iniziale del sito di LockBit

    La sezione Bug Bounty Program

    Si tratta di un programma di Bug Bounty privato, dove è possibile segnalare dei bug e ricevere delle ricompense.

    Schermata del bug bounty program di LockBit

    Il programma si articola nelle seguenti macro aree:

    • Web Site Bug: Vulnerabilità XSS, sql injection in MySQL, ottenere una shell sul sito e altro, verranno pagati a seconda della gravità del bug, la direzione principale è evitare di ottenere un decryptor tramite il sito, nonché l’accesso alla cronologia delle corrispondenze crittografate con le aziende.
    • Bug nella cifratura: Eventuali errori durante la crittografia da parte del malware che portano a file danneggiati o alla possibilità di decrittografare i file senza ottenere un decryptor.
    • Idee brillanti: Paghiamo per le idee, scrivici come migliorare il nostro sito e il nostro software, le idee migliori saranno pagate. Cosa c’è di così interessante nei nostri concorrenti che non abbiamo?
    • Doxing: Paghiamo esattamente un milione di dollari, né più né meno, per il doxing del capo del programma di affiliazione. Che tu sia un agente dell’FBI o un hacker molto intelligente che sa come trovare chiunque, puoi scriverci un messaggero TOX e ottenere $ 1 milione in bitcoin o monero per questo.
    • Vulnerabilità del Messanger TOX: Paghiamo una taglia per le vulnerabilità che consentono di intercettare la corrispondenza, eseguire malware, determinare l’indirizzo IP dell’interlocutore e altre vulnerabilità interessanti.
    • Rete Tor: Paghiamo una taglia per eventuali vulnerabilità che aiutano a ottenere l’indirizzo IP del server in cui è installato il sito sul dominio onion, nonché l’accesso come root ai nostri server, seguito da un dump del database e dai domini onion.

    Come una grande azienda consapevole del rischio informatico, Lockbit avvia un programma di bug bounty sulle sue infrastrutture puntando a fare community con i ricercatori di bug per rendere le proprie risorse sempre più sicure e resilienti ad un eventuale attacco informatico.

    Questo lo fa attraverso una piattaforma di bug bounty sugli strumenti che utilizza e soprattutto per risolvere i bug delle piattaforme che tutelino al massimo il loro anonimato come la rete TOR e il messenger TOX.

    Gli specialisti della sicurezza delle informazioni e i cacciatori di bug sono scettici sulla dichiarazione degli hacker. Dubitano fortemente della realtà dei pagamenti per le vulnerabilità rilevate e non pensano che Bug Bounty di LockBit attirerà molte persone che vogliono guadagnare denaro extra.

    La sezioni affiliati

    In questa sezione LockBit Riporta quanto segue:

    Il più antico programma di affiliazione LockBit internazionale [Ransomware] ti dà il benvenuto.
    
    Ci troviamo nei Paesi Bassi, completamente apolitici e interessati solo al denaro.
    Abbiamo sempre un numero illimitato di affiliati, spazio sufficiente per tutti i professionisti. Non importa in quale paese vivi, che tipo di lingua parli, che età hai, in quale religione credi, chiunque sul pianeta può lavorare con noi in qualsiasi momento dell'anno.
    
    Innanzitutto, stiamo cercando team di penetration tester coesi ed esperti.
    
    Nel secondo turno siamo pronti a lavorare con i broker di accesso: vendita o su una percentuale di riscatto, ma devi fidarti completamente di noi. Forniamo un processo completamente trasparente: puoi controllare la comunicazione con la vittima. Nel caso in cui l'azienda sia stata crittografata e non abbia pagato, vedrai i dati rubati nel blog.
    
    Lavoriamo anche con chi non cripta le reti, ma vuole solo vendere i dati rubati, pubblicandoli sul più grande blog del pianeta.

    La sezione contatti

    Anche la sezione contatti è completamente rinnovata dove viene riportato:

    Puoi contattare l'amministratore di sistema principale ai contatti sottostanti, l'attesa di una risposta può richiedere del tempo da 1 minuto a diversi giorni a seconda del carico di lavoro.
    
    Le domande sulla decrittazione sono da scrivere solo nella chat del sito, se la persona che ha crittografato la tua rete non ti risponde per più di due giorni o hai altri problemi, puoi contattarmi.
    
    Per favore, scrivi un singolo messaggio e indica l'intero punto, non scrivere solo "ciao", "qui?", "posso farti una domanda?" e altri messaggi simili.
    
    PGP KEY, per la crittografia di alcuni messaggi o file molto importanti, la chiave privata è nelle mani di una persona, su un computer crittografato del principale sviluppatore e organizzatore del programma di affiliazione, senza accesso a Internet, PGP KEY non è mai stato trasferito e non sarà trasferito ad altre persone.
    
    Il principale canale di comunicazione è un messenger TOX, il canale di comunicazione di riserva, in caso di problemi con TOX è un messenger Sonar nel browser Tor.

    L’acquisto di Bitcoin

    Anche questa sezione è una nuova funzionalità del sito introdotta nel nuovo LockBit 3.0

    Schermata che avvia la sezione

    Data Leak Site (DLS)

    Dalle prime vittime che sono state pubblicate nel Data Leak Site di LockBit, sembra che le tecniche e tattiche di estorsione siano completamente cambiate rispetto alle precedenti.

    Schermata del DLS di LockBit 3.0 alle 10:00 del 28/06/2022

    LockBit, nella versione 3.0 del loro DLS introduce ulteriori modalità di monetizzazione e relativa pressione verso le vittime e sono:

    • Estendi il “countdown”: la vittima può pagare dei soldi per estendere il countdown per la pubblicazione dei dati;
    • Distruggi tutte le informazioni: la vittima può pagare per distruggere tutte le informazioni esfiltrate dalla sua organizzazione;
    • Scarica i dati in qualsiasi momento: la vittima può pagare per ottenere l’accesso al download esclusivo di tutti i dati esfiltrati dell’azienda.

    Ovviamente il costo per ogni tipologia di “servizio” è differente, come potete vedere nella schermata sotto riportata e si può pagare in Bitcoin o in Monero.

    AL momento LockBit sta mantenendo attivi entrambi i DLS. Il vecchio dove ancora si stanno ultimando le transazioni con le aziende vittime del ransomware, mentre il nuovo, riporta gli ultimi hack e i countdown in corso.

    Ricordiamo che le aziende che vengono pubblicate, non hanno accettato di pagare il riscatto, pertanto la pubblicazione con il relativo countdown significa aumentare la pressione verso l’aziende tentando la monetizzazione, aggiungendo ulteriore forme di servizi.

    Dopo la scomparsa di Conti, LockBit 2.0 ha iniziato a dominare l’arena dei criminali informatici ed è stato responsabile del 40% di tutti gli attacchi ransomware di maggio.

    Redazione
    La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

    Articoli in evidenza

    DarkLab intervista HellCat Ransomware! La chiave è “assicurarsi che tutti comprendano la cybersecurity”

    Il ransomware HellCat è apparso nella seconda metà del 2024 e ha attirato l’attenzione degli analisti grazie all’umorismo delle sue dichiarazioni pubbliche. Ricordiamo l’...

    X/Twitter nel Caos! Un Threat Actors pubblica 2.8 Miliardi di Account Compromessi

    Il 28 marzo 2025, un utente del noto forum di cybersecurity BreachForums, con lo pseudonimo ThinkingOne, ha rivelato quello che potrebbe essere il più grande data breach mai registrato nel mondo ...

    Signal è abbastanza sicuro per la CIA e per il CISA. Lo è anche per te?

    Quando Jeffrey Goldberg dell’Atlantic ha fatto trapelare accidentalmente un messaggio di gruppo privato di alti funzionari statunitensi su un possibile attacco contro gli Houthi nello Yemen, ha...

    Addio alle password! La rivoluzione della sicurezza informatica è già iniziata

    Ogni mese diventa sempre più evidente: le password non funzionano più. Gli hacker hanno imparato a eludere anche la protezione a due fattori sfruttando sessioni rubate e milioni di dati comp...

    Alla scoperta della Pseudonimizzazione: Tra definizione e valore giuridico

    La pseudonimizzazione è una tecnica di protezione dei dati definita dall’art. 4(5) del GDPR. Consiste nella trasformazione dei dati personali in modo tale che non possano più essere a...