LockBit

LockBit es un ransomware identificado que cifra datos y solicita un rescate para su descifrado. Funciona agregando la extensión ".abcd" o ".lockbit" a los archivos afectados y colocando una nota de rescate titulada "Restore-My-Files.txt" en cada carpeta comprometida. Los ciberdelincuentes exigen el pago en Bitcoin y advierten contra el cambio de nombre de los archivos cifrados o el uso de software de terceros para el descifrado. Se propaga principalmente a través de troyanos, campañas de spam, herramientas de activación ilegal, actualizaciones falsas y descargas de fuentes no confiables. Los métodos de distribución incluyen archivos adjuntos infectados en correos electrónicos, sitios web de torrents y anuncios maliciosos. Para protegerse, se recomienda mantener copias de seguridad en dispositivos desconectados y utilizar antivirus actualizado.

Funcionamiento

LockBit, la primera variante de ransomware de la familia, se basa en un modelo de negocio ransomware-as-a-service (RaaS), lo que permite a los atacantes distribuir el malware a través de afiliados. A continuación, se describen sus características técnicas y operativas.

1. Métodos de Infección

LockBit se propaga principalmente a través de:

• Phishing: Correos electrónicos maliciosos con archivos adjuntos o enlaces que llevan a descargas maliciosas.
• Exploits: Aprovechamiento de vulnerabilidades en software o sistemas operativos.
• Acceso a Redes: Uso de credenciales robadas o técnicas de fuerza bruta para acceder a redes corporativas.

2. Proceso de Cifrado

Una vez dentro del sistema, LockBit:

• Escanea el sistema: Identifica archivos importantes (documentos, bases de datos) para cifrar.
• Cifrado de Archivos: Utiliza algoritmos criptográficos avanzados, generalmente AES, para cifrar archivos. Cambia las extensiones de los archivos cifrados a una específica, facilitando su identificación.
• Inyección de Código: Puede modificar el registro y otros componentes del sistema para asegurar su persistencia y evitar detecciones.

3. Generación de Nota de Rescate

Tras cifrar los archivos, LockBit crea un archivo de nota de rescate que incluye:

• Instrucciones para el pago: Generalmente exige el pago en criptomonedas (como Bitcoin) a una dirección específica.
• Amenazas: Advierte sobre las consecuencias de no pagar, incluyendo ataques adicionales.

4. Comunicaciones con el Ciberdelincuente

LockBit permite a los atacantes mantener comunicación directa con la víctima a través de un canal específico, lo que les permite:

• Proporcionar detalles sobre el rescate.
• Ofrecer pruebas de que poseen la clave de descifrado, aumentando la presión para el pago.

5. Técnicas de Evasión

LockBit emplea varias técnicas para evadir la detección y la eliminación, como:

• Cifrado de su propio código: Esto dificulta la identificación por software antivirus.
• Uso de técnicas de ofuscación: Para ocultar las verdaderas intenciones del malware.

Impacto y consecuencias

LockBit representa una grave amenaza para individuos y organizaciones, provocando no solo pérdidas económicas, sino también un impacto duradero en la confianza y la integridad de los datos. La preparación y la respuesta proactiva son esenciales para mitigar sus efectos y proteger la infraestructura crítica.

• Pérdida de Datos Críticos: La encriptación de archivos esenciales provoca una pérdida inmediata de acceso a datos, lo que puede afectar la operación diaria de individuos y organizaciones. Sin posibilidad de recuperación, se puede comprometer la continuidad del negocio.
• Impacto Financiero: El rescate exigido es frecuentemente elevado, lo que puede representar una carga significativa para las víctimas. Además, el costo de la recuperación y la mitigación de daños puede ser considerable, incluyendo la implementación de medidas de seguridad adicionales post-infección.
• Erosión de la Confianza: Las víctimas que sufren un ataque de ransomware pueden experimentar una pérdida de confianza, tanto interna (dentro de la organización) como externa (clientes y socios). Esto puede tener repercusiones a largo plazo en relaciones comerciales y reputación.
• Consecuencias Legales y Regulatorias: Las organizaciones pueden enfrentar implicaciones legales si se considera que no han tomado las precauciones adecuadas para proteger los datos sensibles. Esto incluye posibles multas y responsabilidades legales si se comprometen datos personales.
• Riesgo de Infecciones Secundarias: Durante el proceso de infección, es posible que se instalen otros tipos de malware, como troyanos que roban contraseñas o spyware, lo que aumenta aún más el daño y el riesgo de exposición de datos.
• Aumento de la Vulnerabilidad: La experiencia de un ataque puede exponer a la víctima a futuros ataques, ya que las vulnerabilidades que permitieron la infección inicial pueden permanecer sin abordar.
• Estrés Psicológico: Las víctimas suelen experimentar ansiedad y estrés significativo al enfrentar la pérdida de datos críticos y la incertidumbre sobre la recuperación.

Origen y motivación

LockBit se originó en 2019 como una respuesta a la creciente demanda de ransomware en el cibercrimen, motivado por el potencial de ganancias rápidas a través del secuestro de datos. Su desarrollo fue impulsado por grupos de ciberdelincuentes que buscaban monetizar sus actividades a través de extorsiones, aprovechando la criptografía avanzada para asegurar que las víctimas se vieran obligadas a pagar rescates en criptomonedas, lo que complicaba su rastreo. La evolución del malware ha estado marcada por la implementación de tácticas sofisticadas y una infraestructura que facilita la distribución y el soporte para otros criminales, consolidando su lugar en el ecosistema del ransomware.

• Relación de acciones para mitigar el riesgo de esta actividad maliciosa.

Variantes

LockBit 3.0

LockBit 4.0

LockBit 5