«Лаборатория Касперского» подробно изучила новую вымогательскую программу под названием LockBit Green, а также фишинговые атаки, которые осуществляются против организаций различных стран мира.

Хакерская группа LockBit является одной из наиболее активных группировок вымогателей, действующих сегодня. Они атакуют организации по всему миру. В разное время в своей преступной деятельности представители этой хакерской группы использовали в шифровальщике Lockbit код множества других видов вредоносов, таких как Darkside или BlackMatter. Такой подход значительно облегчает задачу потенциальному партнеру в управлении вымогательским ПО.

В феврале 2023 года эксперты по информационной безопасности из «Лаборатории Касперского» обнаружили новую версию LockBit Green, которая основана на коде уже не существующей хакерской группы Conti. Было проведено сравнение кодов двух разновидностей вымогательского ПО с использованием инструмента Kaspersky Threat Attribution Engine. Было установлено, что LockBit Green включает в себя около 25% исходного кода Conti.

Стоит отметить три фрагмента, которые были частично заимствованные у Conti — это записка с требованием выкупа, параметры командной строки и схема шифрования.

Киберпреступники из LockBit Green использовали метод шифрования, полностью заимствованный у Conti. Они применяли кастомную реализацию алгоритма ChaCha8, что позволяет шифровать файлы с использованием случайно сгенерированных ключей и одноразового кода. Для хранения шифрования используется жестко закодированный открытый ключ RSA.

Эксперты «Лаборатории Касперского» также выяснили, что операторы LockBit Green тестируют разные варианты вымогательского ПО для различных архитектур, не используя их сейчас при проведении реальных кибератак. Например, образец для MacOS не имеет подписи, поэтому в целевых системах не может быть запущен. А для шифрования строк используется простейший метод — операция XOR с однобайтовым ключом.

Тем не менее, обнаруженный ZIP-файл, который был загружен на мультисканерный сервис, содержит образцы LockBit для различных архитектур, позволяет предположить, что хакерская группировка LockBit вскоре начнет проводить кибератаки на разные платформы.

Подробная версия отчета доступна по ссылке.

Актуальные вакансии по ИБ: https://cisoclub.ru/vacancy/. Отправить резюме во все популярные IT-компании: https://cisoclub.ru/jobmail/