Alles, was Sie über die LockBit-Ransomware-Familie wissen müssen

Wenn Sie sich regelmäßig über Cybersicherheitsbedrohungen auf dem Laufenden halten, wissen Sie wahrscheinlich, wie gefährlich weit verbreitet Ransomware geworden ist. Diese Art von Malware stellt eine große Bedrohung für Einzelpersonen und Organisationen dar, wobei mehrere Stämme mittlerweile zur ersten Wahl für böswillige Akteure werden, darunter auch LockBit.

Was ist LockBit, wo kommt es her und wie können Sie sich vor dieser Ransomware schützen?

Was ist LockBit-Ransomware?

Obwohl LockBit als eine einzige Familie von Ransomware begann, hat es sich seitdem mehrmals weiterentwickelt, wobei die neueste Version den Namen „ LockBit 3.0 “ trägt. LockBit umfasst eine Familie von Ransomware-Programmen, die nach dem Ransomware-as-a-Service (RaaS)-Modell arbeiten.

Ransomware-as-a-Service ist ein Geschäftsmodell, bei dem Benutzer für den Zugriff auf eine bestimmte Art von Ransomware bezahlen, damit sie diese für ihre eigenen Angriffe nutzen können. Dadurch wird dieser Benutzer zu einem Partner und seine Zahlung kann aus einer Pauschalgebühr oder einem abonnementbasierten Dienst bestehen. Kurz gesagt, die Entwickler von LockBit haben einen Weg gefunden, durch die Verwendung dieses RaaS-Modells mehr Gewinn aus der Nutzung zu ziehen und möglicherweise sogar ein Lösegeld vom Opfer zahlen zu lassen.

Über das RaaS-Modell kann auf mehrere andere Ransomware-Programme zugegriffen werden, darunter DarkSide und REvil. Außerdem ist LockBit heute eine der beliebtesten Ransomware-Programme.

Da es sich bei LockBit um eine Familie von Ransomware handelt, beinhaltet ihre Verwendung die Verschlüsselung der Dateien des Ziels. Cyberkriminelle infiltrieren das Gerät des Opfers auf die eine oder andere Weise, vielleicht über Phishing-E-Mails oder bösartige Anhänge, und verwenden dann LockBit, um alle Dateien auf dem Gerät so zu verschlüsseln, dass der Benutzer keinen Zugriff darauf hat.

Sobald die Dateien des Opfers verschlüsselt wurden, verlangt der Angreifer ein Lösegeld als Gegenleistung für den Entschlüsselungsschlüssel. Kommt das Opfer nicht nach und zahlt das Lösegeld, ist es wahrscheinlich, dass der Angreifer die Daten anschließend gewinnbringend im Dark Web verkauft . Je nachdem, um welche Daten es sich handelt, kann dies zu irreversiblen Schäden an der Privatsphäre einer Einzelperson oder Organisation führen, was den Druck zur Zahlung des Lösegelds erhöhen könnte.

Doch woher kommt diese äußerst gefährliche Ransomware?

Ursprung der LockBit-Ransomware

Es ist nicht genau bekannt, wann LockBit entwickelt wurde, aber es wurde seit 2019 erkannt, als es erstmals entdeckt wurde. Diese Entdeckung erfolgte nach der ersten Welle von LockBit-Angriffen, als die Ransomware zunächst den Namen „ABCD“ erhielt, in Anlehnung an die Erweiterungsnamen der bei den Angriffen ausgenutzten verschlüsselten Dateien. Doch als Angreifer stattdessen die Dateierweiterung „.lockbit“ verwendeten, änderte sich der Name der Ransomware in den heutigen Namen.

Die Popularität von LockBit stieg nach der Entwicklung seiner zweiten Version, LockBit 2.0. Ende 2021 wurde LockBit 2.0 zunehmend für Angriffe eingesetzt, und als andere Ransomware-Banden geschlossen wurden, konnte LockBit die Marktlücke ausnutzen.

Tatsächlich hat die zunehmende Akzeptanz von LockBit 2.0 seine Position als „die am weitesten verbreitete und wirkungsvollste Ransomware-Variante, die wir von allen Ransomware-Verstößen beobachtet haben“ im ersten Quartal 2022 gefestigt, heißt es in einem Palo Alto-Bericht. Darüber hinaus gab Palo Alto im selben Bericht an, dass die Betreiber von LockBit behaupten, über die schnellste Verschlüsselungssoftware aller derzeit aktiven Ransomware zu verfügen.

LockBit-Ransomware wurde in vielen Ländern auf der ganzen Welt entdeckt, darunter China, den USA, Frankreich, der Ukraine, Großbritannien und Indien. Auch mehrere große Organisationen wurden mit LockBit ins Visier genommen, darunter Accenture, ein irisch-amerikanisches Unternehmen für professionelle Dienstleistungen.

Accenture erlitt im Jahr 2021 einen Datenverstoß mit LockBit, bei dem die Angreifer ein Lösegeld in Höhe von satten 50 Millionen US-Dollar und über 6 TB verschlüsselter Daten forderten. Accenture war nicht bereit, dieses Lösegeld zu zahlen, obwohl das Unternehmen bestätigte, dass von dem Angriff keine Kunden betroffen waren.

LockBit 3.0 und seine Risiken

Da LockBit immer beliebter wird, ist jede neue Variante ein echtes Problem. Die neueste Version von LockBit, LockBit 3.0 genannt, ist insbesondere in Windows-Betriebssystemen zu einem Problem geworden.

Im Sommer 2022 wurde LockBit 3.0 verwendet, um über Windows Defender-Exploits bösartige Cobalt Strike- Payloads auf Zielgeräte zu laden. Bei dieser Angriffswelle wurde eine ausführbare Befehlszeilendatei namens MpCmdRun.exe missbraucht, damit Cobalt Strike-Beacons die Sicherheitserkennung umgehen konnten.

LockBit 3.0 wurde auch verwendet, um eine VMWare-Befehlszeile namens VMwareXferlogs.exe auszunutzen, um die Cobalt Strike-Nutzlast erneut bereitzustellen. Es ist nicht bekannt, ob diese Angriffe anhalten oder sich zu etwas völlig anderem entwickeln werden.

Es ist klar, dass LockBit-Ransomware ein hohes Risiko darstellt, wie es bei vielen Ransomware-Programmen der Fall ist. Wie können Sie sich also schützen?

So schützen Sie sich vor LockBit-Ransomware

Da die LockBit-Ransomware zunächst auf Ihrem Gerät vorhanden sein muss, um Dateien zu verschlüsseln, müssen Sie die Infektion zunächst vollständig verhindern. Obwohl es schwierig ist, einen Schutz vor Ransomware zu gewährleisten, können Sie viel tun.

Erstens: Laden Sie niemals Dateien oder Softwareprogramme von Websites herunter, die nicht völlig legal sind. Das Herunterladen einer beliebigen, nicht verifizierten Datei auf Ihr Gerät kann Ransomware-Angreifern einfachen Zugriff auf Ihre Dateien ermöglichen. Stellen Sie sicher, dass Sie nur vertrauenswürdige und gut bewertete Websites für Downloads oder offizielle App-Stores für die Installation von Software verwenden.

Ein weiterer zu beachtender Faktor ist, dass LockBit-Ransomware häufig über das Remote Desktop Protocol (RDP) verbreitet wird. Wenn Sie diese Technologie nicht nutzen, brauchen Sie sich keine allzu großen Sorgen zu machen. Wenn Sie dies jedoch tun, ist es wichtig, dass Sie Ihr RDP-Netzwerk sichern, indem Sie einen Passwortschutz und ein VPN verwenden und das Protokoll deaktivieren, wenn es nicht direkt verwendet wird. Ransomware-Betreiber scannen das Internet häufig nach anfälligen RDP-Verbindungen. Durch das Hinzufügen zusätzlicher Schutzebenen wird Ihr RDP-Netzwerk daher weniger anfällig für Angriffe.

Ransomware kann auch durch Phishing verbreitet werden , eine äußerst häufige Methode der Infektion und des Datendiebstahls, die von böswilligen Akteuren eingesetzt wird. Phishing wird am häufigsten per E-Mail eingesetzt, wobei ein Angreifer einen schädlichen Link an den E-Mail-Text anfügt, mit dem er das Opfer zum Klicken verleitet. Dieser Link führt zu einer schädlichen Website, die eine Malware-Infektion erleichtern könnte.

Die Vermeidung von Phishing kann auf verschiedene Weise erfolgen, unter anderem durch den Einsatz von Anti-Spam-Funktionen, Link-Check-Websites und Antivirensoftware. Sie sollten auch die Absenderadresse jeder neuen E-Mail überprüfen und die E-Mail auf Rechtschreibfehler prüfen (da Phishing-E-Mails häufig viele Rechtschreib- und Grammatikfehler enthalten).

LockBit entwickelt sich weiterhin zu einer globalen Bedrohung

LockBit wächst weiter und nimmt immer mehr Opfer ins Visier: Diese Ransomware kommt nicht so schnell. Beachten Sie einige der oben genannten Tipps, um sich vor LockBit und Ransomware im Allgemeinen zu schützen. Auch wenn Sie denken, dass Sie nie zur Zielscheibe werden, sollten Sie trotzdem die nötigen Vorsichtsmaßnahmen treffen.