O LockBit está fora do ar, mas essas cinco outras ameaças de ransomware tomarão seu lugar

Nos últimos anos, o LockBit tem sido uma das gangues de ransomware mais notórias, extorquindo centenas de milhões de dólares e desperdiçando enormes quantidades de dados no processo.

Mas agora, os esforços combinados de aplicação da lei perturbaram significativamente a infraestrutura da LockBit, derrubando o seu site e descobrindo a sua rede de afiliados e participações em criptomoedas. Infelizmente, isso não significa que o ransomware esteja fazendo uma pausa, pois há muitos outros tipos de ransomware esperando para preencher o vazio.

O que é LockBit Ransomware?

O ransomware é um dos piores tipos de malware, bloqueando sua máquina e exigindo pagamento para liberar seus dados ilesos.

LockBit é um grupo criminoso que gerencia, opera e distribui ransomware com o mesmo nome. O ransomware LockBit é notório e atingiu dezenas de milhares de empresas, organizações e pessoas comuns em todo o mundo, ganhando potencialmente bilhões de dólares no processo.

O LockBit é particularmente perigoso porque se autopropaga – ou seja, pode se espalhar por conta própria, o que o torna quase único entre os tipos de ransomware. Por causa disso, impedir um ataque de ransomware LockBit é extremamente difícil, pois o ransomware pode identificar outros alvos vulneráveis ​​sem qualquer interação humana.

Além disso, o grupo LockBit lança regularmente atualizações para o seu ransomware, adicionando novos recursos e ajustando a sua funcionalidade, respondendo às ameaças contra a sua eficácia. LockBit 3.0 foi a última grande atualização, lançada em junho de 2022.

O que aconteceu com o LockBit?

Em 19 de fevereiro de 2024, as agências de aplicação da lei, incluindo o FBI, a Agência Nacional do Crime do Reino Unido e a Europol, revelaram que uma operação combinada havia perturbado gravemente a organização da LockBit.

A “Operação Cronos” bloqueou os proprietários e afiliados da LockBit (sim, a LockBit tinha uma rede afiliada usando seu ransomware e pagando uma porcentagem aos desenvolvedores, usando um ransomware como modelo de serviço) de sua própria rede, derrubando cerca de 11.000 domínios e servidores em o processo. Dois desenvolvedores do LockBit também foram presos, enquanto outros usuários afiliados do LockBit também foram presos como parte da mesma operação.

De acordo com a CISA, os ataques LockBit representaram mais de 15% de todos os ataques de ransomware nos EUA, Reino Unido, Canadá, Austrália e Nova Zelândia em 2022, o que é um número fenomenal. Mas com a conta e plataforma de administração primária da LockBit sob o controlo das autoridades, a sua capacidade de lançar e controlar a sua rede foi efectivamente eliminada.

Quando as ferramentas de descriptografia LockBit estarão disponíveis?

Agindo rapidamente, algumas das organizações envolvidas na remoção do LockBit já começaram a lançar ferramentas de descriptografia LockBit e a fornecer chaves de descriptografia LockBit para as vítimas.

• EUA/FBI: Entre em contato com o FBI para obter as chaves por meio do LockBit Victims
• Reino Unido/NCA: Entre em contato com a NCA para obter as chaves por meio deste e-mail: lockbit@nca.gov.uk
• Outros/Europol, Educado (NL) Siga as instruções para descriptografia do Lockbit 3.0 em No More Ransom

Não há garantia de que você recuperará com êxito os arquivos criptografados com o LockBit, mas vale a pena tentar, especialmente porque o LockBit nem sempre enviava a chave de descriptografia correta, mesmo depois de receber o pagamento do resgate.

5 tipos de ransomware que substituirão o LockBit

O LockBit foi responsável por uma enorme quantidade de ransomware, mas está longe de ser o único grupo de ransomware em operação. O desaparecimento do LockBit provavelmente criará um vácuo de curta duração para outros grupos de ransomware se moverem. Com isso em mente, aqui estão cinco tipos diferentes de ransomware a serem observados:

• ALPHV/Gato Preto: Outro modelo de ransomware como serviço, o ALPHV/BlackCat comprometeu centenas de organizações em todo o mundo. É particularmente notável como um dos primeiros tipos de ransomware escritos inteiramente na linguagem de programação Rust, o que o ajuda a atingir hardware Windows e Linux.
• Cl0p: A organização Cl0p está em operação desde pelo menos 2019 e estima-se que tenha extorquido mais de US$ 500 milhões em resgates. O Cl0p normalmente exfiltra dados confidenciais, que são então usados ​​para pressionar suas vítimas a pagar um resgate, tanto para liberar dados criptografados quanto para impedir o vazamento de dados confidenciais.
• Reproduzir/PlayCrypt: um dos tipos de ransomware mais recentes, o Play (também conhecido como PlayCrypt) surgiu pela primeira vez em 2022 e é notável por sua extensão de arquivo “.play” usada durante seus ataques de ransomware. Assim como o Cl0p, o grupo Play também é conhecido por suas táticas de dupla extorsão e utiliza uma ampla gama de vulnerabilidades para expor suas vítimas.
• Real: embora a Royal opere um modelo de ransomware como serviço, ela não compartilha suas informações e código da mesma forma que outros grupos de ransomware. No entanto, como outros grupos, o Royal utiliza táticas de multiextorsão, roubando dados e usando-os para extorquir resgates.
• 8Base: O 8Base apareceu repentinamente em meados de 2023, com um aumento na atividade de ransomware apresentando vários tipos de extorsão, junto com links estreitos para outros grandes grupos de ransomware, como o RansomHouse.

A pesquisa da Malwarebytes mostra que, embora o LockBit tenha sido um dos tipos mais prolíficos de ransomware, as dez principais organizações de ransomware são responsáveis ​​por 70% de todos os ataques de ransomware. Portanto, mesmo sem o LockBit, o ransomware está absolutamente esperando nos bastidores.

O LockBit Ransomware está completamente concluído?

Por mais incrível que seja a notícia do fim do LockBit, não, o ransomware LockBit não está completamente enterrado. Ars Technica relata novos ataques LockBit dias após a remoção, e isso por alguns motivos.

Primeiro, embora a infraestrutura do LockBit tenha sido desativada, isso não significa que o código do ransomware não exista. Uma versão do código-fonte do LockBit vazou em 2022, e pode ser isso que levou aos novos ataques. Além disso, a LockBit tinha uma rede enorme que abrangia vários países. Embora sua base de operações estivesse focada na Rússia, uma organização desse tamanho e sofisticação definitivamente possui backups e métodos para voltar a ficar on-line, mesmo que demore um pouco para ser reconstruída.

Sem dúvida, não vimos o último ransomware LockBit.