ロックビット
LockBit BlackまたはLockbit 3.0としても認識されているLockBitは、世界最大のランサムウェアグループの1つであり、様々な業界にわたる広範なサイバー攻撃を指揮し、その執拗かつ適応力のある戦略で世界中の何千もの組織に影響を与えています。
ロックビットの由来
2019年9月の創業以来、ロックビットはサイバー犯罪の世界で悪名高くなり、RaaSモデルと「StealBit」malware を活用して、企業やインフラを積極的に標的にしている。
バージョンLockBit Redから3.0へと進み、その度にセキュリティ分析にとって困難な洗練された機能が導入された。2023年には、消滅したランサムウェアContiの機能を統合したLockBit Greenが登場し、サイバー犯罪界における適応力の高さを示しました。
しかし、2024年2月の「オペレーション・クロノス」はロックビットの活動を妨害し、その信頼性を低下させ、ランサムウェアと闘う国際的な取り組みを明らかにした。法執行機関がロックビットのサイトを掌握したにもかかわらず、さらなる攻撃が報告され、このグループの執拗さが示された。
地図製作： OCD
ターゲット
ロックビットのターゲット
Lockbitがターゲットにしている国
Lockbitの政治的中立性の主張にもかかわらず、被害者のかなりの数はNATO加盟国とその同盟国であるようだ。
LockBit 3.0株を使用した攻撃の約50%は、米国内の企業に影響を及ぼしています。LockBitを使用したハッカーは、米国の被害者から9,100万ドル以上の身代金を受け取っています。
ブラジルとインドもターゲットにされている。
ソース SOCRadar
ロックビットがターゲットとする業界
製造業はロックビットによって頻繁に攻撃されているが、一貫して特定の業界を標的にしているわけではなく、このグループが無差別に標的にしていることを裏付けている。
通常、中小企業を食い物にしているが、IT大手アクセンチュアのような大企業でさえ、ロックビットの影響を受けないわけではない。
ソース SOCRadar
ロックビットがターゲットとする業界
製造業はロックビットによって頻繁に攻撃されているが、一貫して特定の業界を標的にしているわけではなく、このグループが無差別に標的にしていることを裏付けている。
通常、中小企業を食い物にしているが、IT大手アクセンチュアのような大企業でさえ、ロックビットの影響を受けないわけではない。
ソース SOCRadar
ロックビットの犠牲者
現在までに1661人以上の被害者がLockbitの悪質な作戦の餌食となっている。
ソース ランサムウェア.ライブ
攻撃方法
ロックビットの攻撃方法
ロックビット3.0の参加者は、以下の方法でネットワークにアクセスする：
- 既存のアカウント認証情報の漏洩
- RDP違反の活用
- 公共向けシステムの脆弱性を突く
- 通常のブラウジング中に悪意のあるウェブサイトに移動する。
- フィッシング攻撃を行う
LockBit 3.0は、現在の権限が不十分な場合に、より高いアクセス・レベルを獲得しようとし、自動ログイン機能を使用して権限を昇格させる。
LockBit 3.0は、コントロールサーバーとの通信を暗号化し、実行後に自己削除することで活動を隠し、正しいパスワードが提供された場合にのみ復号化を進めます。
LockBit 3.0は、ネットワーク内に組み込まれたまま、侵害されたユーザーアカウントを操作し、自動ログインするようにシステムを設定する。
LockBit 3.0 は、Microsoft Sysinternals 社の ProDump を利用して、LSASS.exe からプロセス・メモリの内容を抽出します。
LockBit 3.0は、SoftPerfect Network Scannerを使用してネットワークをスキャンし、詳細なシステムおよびドメインデータを収集し、特定の言語設定でシステムへの感染を回避します。
内部ネットワークへの侵入については、LockBit 3.0はSplashtopリモート・デスクトップ・ソフトウェアを活用している。
LockBit 3.0は、FileZillaを使用してコマンドと制御を設定し、Windowsシステム上でPlinkを介して安全なシェル対話を自動化します。動作中、LockBit 3.0はコマンドを実行し、ソフトウェア管理のためにWindowsパッケージマネージャであるChocolateyを使用します。
LockBit 3.0は、特注のツールStealbitと一般的なクラウドサービスを使い、ネットワークからデータを吸い上げる。
LockBit 3.0は、ログの消去、ごみ箱のクリア、データの暗号化、プロセスやサービスの停止、シャドーコピーの削除、そして感染したシステムの外観を独自のイメージで変更することで、オペレーションを妨害する。
初期アクセス
ロックビット3.0の参加者は、以下の方法でネットワークにアクセスする：
- 既存のアカウント認証情報の漏洩
- RDP違反の活用
- 公共向けシステムの脆弱性を突く
- 通常のブラウジング中に悪意のあるウェブサイトに移動する。
- フィッシング攻撃を行う
特権エスカレーション
LockBit 3.0は、現在の権限が不十分な場合に、より高いアクセス・レベルを獲得しようとし、自動ログイン機能を使用して権限を昇格させる。
防御回避
LockBit 3.0は、コントロールサーバーとの通信を暗号化し、実行後に自己削除することで活動を隠し、正しいパスワードが提供された場合にのみ復号化を進めます。
LockBit 3.0は、ネットワーク内に組み込まれたまま、侵害されたユーザーアカウントを操作し、自動ログインするようにシステムを設定する。
クレデンシャル・アクセス
LockBit 3.0 は、Microsoft Sysinternals 社の ProDump を利用して、LSASS.exe からプロセス・メモリの内容を抽出します。
ディスカバリー
LockBit 3.0は、SoftPerfect Network Scannerを使用してネットワークをスキャンし、詳細なシステムおよびドメインデータを収集し、特定の言語設定でシステムへの感染を回避します。
横の動き
内部ネットワークへの侵入については、LockBit 3.0はSplashtopリモート・デスクトップ・ソフトウェアを活用している。
コレクション
実行
LockBit 3.0は、FileZillaを使用してコマンドと制御を設定し、Windowsシステム上でPlinkを介して安全なシェル対話を自動化します。動作中、LockBit 3.0はコマンドを実行し、ソフトウェア管理のためにWindowsパッケージマネージャであるChocolateyを使用します。
データ流出
LockBit 3.0は、特注のツールStealbitと一般的なクラウドサービスを使い、ネットワークからデータを吸い上げる。
インパクト
LockBit 3.0は、ログの消去、ごみ箱のクリア、データの暗号化、プロセスやサービスの停止、シャドーコピーの削除、そして感染したシステムの外観を独自のイメージで変更することで、オペレーションを妨害する。
MITRE ATT&CK マッピング
ロックビットが使用したTTP
LockBitは、BlackMatterやBlackCatランサムウェアファミリーと共通の特徴を反映し、以前の製品よりもモジュール化された回避的なTTP（戦術、技術、手順）を採用しています。
TA0001: Initial Access
T1566
Phishing
T1190
Exploit Public-Facing Application
T1189
Drive-by Compromise
T1133
External Remote Services
T1078
Valid Accounts
TA0002: Execution
No items found.
TA0003: Persistence
T1547
Boot or Logon Autostart Execution
T1546
Event Triggered Execution
T1078
Valid Accounts
TA0004: Privilege Escalation
T1547
Boot or Logon Autostart Execution
T1546
Event Triggered Execution
T1078
Valid Accounts
TA0005: Defense Evasion
T1480
Execution Guardrails
T1027
Obfuscated Files or Information
T1070
Indicator Removal
T1078
Valid Accounts
TA0006: Credential Access
T1003
OS Credential Dumping
TA0007: Discovery
T1614
System Location Discovery
T1082
System Information Discovery
T1046
Network Service Discovery
TA0008: Lateral Movement
T1072
Software Deployment Tools
TA0009: Collection
No items found.
TA0011: Command and Control
No items found.
TA0010: Exfiltration
No items found.
TA0040: Impact
T1486
Data Encrypted for Impact
プラットフォーム検出
Vectra AIを使った検知 Lockbitの方法
ランサムウェア攻撃を示すVectra AI Platform で利用可能な検出のリスト。
よくあるご質問(FAQ)
LockBitランサムウェアとは？
LockBitは、組織のデータを暗号化し、復号化キーの身代金を要求するRansomware-as-a-Service（RaaS）です。そのステルス性、スピード、二重の恐喝スキームの使用で知られています。
LockBitはどのようにしてネットワークへの初期アクセスを得るのですか？
LockBit は多くの場合、リモートデスクトッププロトコル（RDP）の悪用、フィッシング、スピアフィッシング 、以前に侵入されたアカウントの認証情報の使用など、さまざまな手段で最初のアクセスを獲得します。
LockBit 3.0は以前のバージョンと何が違うのですか？
LockBit 3.0は、暗号化と攻撃ペイロードをカスタマイズする機能を改善し、よりモジュール化され、より回避的になっている。BlackMatterやBlackCatのような他のランサムウェアの機能を取り入れています。
ロックビットは重大なサイバー事件に巻き込まれたことがありますか？
そう、ロックビットは、多国籍の大企業が関与した有名な事件を含め、世界中の企業に対する数多くの攻撃の原因となっている。
LockBit は身代金要求プロセスをどのように処理していますか？
LockBitは通常、侵害されたシステム内に支払い方法を記した身代金メモを残す。支払いは通常暗号通貨で要求され、交渉はダークウェブ上で行われることもある。
LockBitに対してどのような防御策が有効ですか？
システムの定期的なアップデートとパッチ適用、強固なアクセス制御の導入、頻繁なセキュリティ意識向上トレーニングの実施、高度な脅威検知ツールの使用、オフラインバックアップの維持は、重要な防御策である。
LockBit 暗号化ファイルの復号化ツールはありますか？
LockBitの被害に遭った場合、国家犯罪捜査局（NCA）はLockBitのサイトから1000個の復号鍵を入手し、盗まれたデータの復号化を支援している。
ネットワークがLockBitによって侵害された場合、どのような対処が最善でしょうか？
影響を受けたシステムを隔離し、インシデントレスポンス 計画を開始し、法執行機関およびサイバーセキュリティの専門家に連絡する。身代金の支払いは、データ復旧を保証するものではなく、さらなる犯罪行為に資金を提供する可能性があるため、避けること。
LockBitの背後にいるオペレーターについて何がわかっていますか？
運営者は、RaaSモデルで活動する高度なサイバー犯罪者集団の一員であり、匿名性を維持したまま、ランサムウェアを拡散させるために関連会社をリクルートしていると考えられている。