Il builder del ransomware LockBit 3.0. Cucito su misura per attacchi su misura!

Sandro Sana : 18 Aprile 2024 07:05

Il builder di LockBit 3.0 è uno strumento che permette agli hacker di creare ransomware personalizzato in pochi minuti, sfruttando le funzionalità avanzate di questo malware. Il ransomware è un tipo di software dannoso che blocca l’accesso ai dati della vittima, richiedendo un pagamento per il loro ripristino. LockBit 3.0 è una delle versioni più recenti e pericolose di questo genere di minacce, in grado di diffondersi in rete, disabilitare le protezioni e criptare i file con algoritmi sofisticati.

Il builder di LockBit 3.0 ha consentito agli hacker di lanciare campagne di ransomware mirate e personalizzate, senza dover dipendere dagli operatori del servizio RaaS (Ransomware as a Service) che offrono il malware. Ciò ha reso più arduo per le autorità e i ricercatori di sicurezza contrastare la minaccia e assistere le vittime a recuperare i loro dati.

Tuttavia, nel febbraio 2024, la task force internazionale nell’operazione Cronos ha acquisito visibilità sulle operazioni di LockBit dopo aver smantellato il gruppo. L’azione collaborativa ha coinvolto agenzie in 10 paesi, che hanno sequestrato l’infrastruttura e preso il controllo dell’ambiente di amministrazione di LockBit. Tuttavia, pochi giorni dopo l’operazione, il gruppo ransomware ha dichiarato che era tornato in azione.

L’operazione ha permesso alle forze dell’ordine di sequestrare l’infrastruttura del gruppo, ottenere le chiavi di decrittazione private e preparare un set di strumenti di decrittazione basati su un elenco di ID vittima noti ottenuti dalle autorità.

I file crittografati con un payload generato con l’ausilio del builder di LockBit trapelato non potevano essere decifrati con gli strumenti di decrittazione esistenti, essenzialmente perché i gruppi indipendenti dietro questi attacchi non condividevano le loro chiavi private con l’operatore RaaS.

Come si genera il ransomware personalizzato con il builder

Il builder di LockBit 3.0 si compone di diversi file che consentono di generare le varianti del ransomware in base alle preferenze degli attaccanti. Questi sono i passaggi principali del processo:

• Generatore delle chiavi crittografiche: il file “keygen.exe” crea coppie di chiavi pubbliche e private, che servono per criptare e decriptare i file della vittima. La chiave pubblica viene incorporata nel ransomware, mentre la chiave privata rimane in possesso degli hacker.
• Configurazione delle opzioni del ransomware: il file “config.json” permette di impostare le opzioni del ransomware personalizzato, come il tipo di diffusione in rete, la disattivazione delle difese, l’autodistruzione, le richieste di riscatto e altre impostazioni che rendono il malware più adattabile alle esigenze degli attaccanti.
• Generazione delle varianti del ransomware: il file “builder.exe” crea diversi file eseguibili con estensioni come “.exe” e “.dll”, ognuno progettato per una specifica funzionalità e scopo. Questi file possono essere usati per avviare l’attacco, infettare altri dispositivi o nascondere le tracce.
• Automazione del processo di generazione: il file “Build.bat” automatizza tutto il processo, eseguendo i comandi necessari per generare i file eseguibili del ransomware personalizzato. Questo permette agli hacker di creare rapidamente diverse versioni del malware, adattandole alle specifiche esigenze di ogni attacco.

Quali sono le funzionalità avanzate del builder

Il builder di LockBit 3.0 offre molte funzionalità avanzate che consentono agli attaccanti di personalizzare il ransomware per massimizzare i danni e ottenere il massimo profitto.

Queste funzionalità includono:

• La possibilità di selezionare specifiche cartelle o tipi di file da crittografare, per colpire i dati più sensibili o rilevanti per la vittima.
• L’inclusione di moduli di autenticazione per verificare l’identità della vittima durante il processo di pagamento del riscatto, per evitare frodi o truffe.
• L’integrazione di tecniche di evasione per sfuggire alla rilevazione da parte dei software di sicurezza, come la criptazione del codice, la modifica dei nomi dei file o la cancellazione delle impronte digitali.
• La possibilità di configurare il ransomware in modo da comunicare con un server di comando e controllo (C&C). Questo server svolge un ruolo chiave nel processo di attacco, consentendo agli aggressori di inviare istruzioni al ransomware e di ricevere informazioni sullo stato delle infezioni. Attraverso la comunicazione con il C&C, gli attaccanti possono anche ricevere le chiavi di decrittografia una volta che il riscatto è stato pagato.

Quali sono le modalità di attacco di LockBit 3.0

LockBit 3.0 ha adottato il modello di Ransomware-as-a-Service (RaaS), che offre una piattaforma di affiliazione agli attaccanti. Questo significa che i criminali informatici possono “affittare” il builder di LockBit 3.0 e ricevere una quota dei profitti generati dalle infezioni. Questo modello ha contribuito a una maggiore diffusione del ransomware personalizzato basato su LockBit 3.0, poiché consente anche ad attaccanti meno esperti di sfruttare questa minaccia avanzata.

Oltre alla crittografia dei file della vittima, LockBit 3.0 ha introdotto una nuova pratica comune tra i ransomware moderni: l’estorsione e la vendita dei dati sensibili. Gli attaccanti minacciano di divulgare o vendere i dati rubati se il riscatto non viene pagato entro un certo periodo di tempo. Questa tattica ha dimostrato di essere particolarmente efficace per spingere le vittime a pagare il riscatto, poiché le conseguenze della divulgazione dei dati possono essere devastanti per le organizzazioni o gli individui colpiti.

Quali sono i rischi e le contromisure

Il builder di LockBit 3.0 rappresenta una grave minaccia per la sicurezza informatica, in quanto consente agli hacker di creare ransomware su misura per colpire obiettivi specifici, sfruttando le vulnerabilità e le debolezze dei sistemi.

Questo rende più difficile la prevenzione e il recupero degli attacchi, aumentando il potenziale danno economico e reputazionale. Per difendersi da questa minaccia, è necessario adottare alcune contromisure, come:

• Aggiornare regolarmente i software e i sistemi operativi, per correggere le eventuali falle di sicurezza.
• Effettuare backup frequenti dei dati, su supporti esterni o in cloud, per poterli ripristinare in caso di attacco.
• Utilizzare soluzioni antivirus e antimalware, per rilevare e bloccare le infezioni da ransomware.
• Evitare di aprire allegati o link sospetti, provenienti da fonti non verificate o non attendibili.
• Segnalare e denunciare gli attacchi alle autorità competenti, per contribuire alla lotta contro il cybercrimine.

Il builder di LockBit 3.0 rappresenta un’evoluzione significativa nel panorama dei ransomware personalizzati. La sua facilità d’uso e le sue funzionalità avanzate consentono agli attaccanti di creare varianti di ransomware altamente adattabili e dannose.

È essenziale che le organizzazioni adottino soluzioni di sicurezza robuste, come firewall, sistemi di rilevamento delle intrusioni e soluzioni antivirus avanzate, per proteggersi contro le varianti personalizzate di LockBit 3.0 e altre minacce ransomware. È importante anche educare gli utenti sulla sicurezza informatica e implementare pratiche di sicurezza migliori, come l’esecuzione regolare di backup dei dati critici e l’adozione di politiche di accesso e autorizzazione rigorose.

Inoltre, è fondamentale monitorare costantemente le attività di rete e implementare soluzioni di rilevamento delle minacce avanzate per individuare e rispondere tempestivamente agli attacchi ransomware. La difesa contro tali minacce richiede una combinazione di misure di sicurezza tecniche, formazione degli utenti e migliori pratiche di sicurezza per mitigare i rischi associati al ransomware personalizzato.

Sandro Sana
Membro del gruppo di Red Hot Cyber Dark Lab e direttore del Red Hot Cyber PodCast. Si occupa d'Information Technology dal 1990 e di Cybersecurity dal 2014 (CEH - CIH - CISSP - CSIRT Manager - CTI Expert), relatore a SMAU 2017 e SMAU 2018, docente SMAU Academy & ITS, membro ISACA. Fa parte del Comitato Scientifico del Competence Center nazionale Cyber 4.0, dove contribuisce all’indirizzo strategico delle attività di ricerca, formazione e innovazione nella cybersecurity.

Lista degli articoli
Visita il sito web dell'autore