Il gruppo ransomware LockBit 2.0 sta attivamente reclutando addetti ai lavori per aiutarli a violare e crittografare le reti. In cambio, all’insider vengono promessi pagamenti milionari

 

Ransomware-as-a-Service

Come già scritto in precedenza in questo articolo, il lavoro ora lo si trova nel dark web.
L’evoluzione dei ransomware, ora passa direttamente dal reclutamento interno delle grandi aziende, in pratica si tratta di creare un  gruppo principalmente di sviluppatori, che gestiscono i siti colpiti dal “ransomware” le relative forme di pagamento, e creano affiliati reclutati che violano le reti delle vittime e crittografano i dispositivi.

I proventi del riscatto effettuati dalle vittime vengono così  suddivisi tra il gruppo principale e l'”affiliato”.
Chi ha procurato il “bersaglio” del ransomware, riceve il 70-80% dell’importo totale. Ma volendo ben approfondire l’argomento e leggendo i forum addetti nel dark; ultimamente per evitare danni all’azienda in cui si lavora, si cerca di trovare gli accessi alle reti da altri pentester di terze parti piuttosto che violare il proprio datore di lavoro.

Con LockBit 2.0, la banda del ransomware sta cercando di rimuovere l’intermediario e invece reclutare addetti ai lavori per fornire loro l’accesso a una rete aziendale

LockBit 2.0 promette milioni di dollari agli addetti ai lavori

A giugno, l’operazione ransomware LockBit ha annunciato il lancio del suo nuovo ransomware-as-a-service LockBit 2.0 . Questo rilancio includeva siti Tor riprogettati e numerose funzionalità avanzate, inclusa la crittografia automatica dei  dispositivi su una rete tramite criteri di gruppo. Nel corso degli anni, l’operazione ransomware è stata molto attiva, con un rappresentante del gruppo che ha promosso l’attività e fornito supporto sui forum di hacking.

Dopo che gli argomenti relativi al ransomware sono stati banditi sui forum di hacking, LockBit ha iniziato a promuovere la nuova operazione ransomware-as-a-service LockBit 2.0 sul proprio sito in modo diretto!

Viene utilizzato l’aggiornamento dei criteri di gruppo per crittografare la rete

LockBit 2.0 promuove un lungo elenco di funzionalità; molte utilizzate da altre operazioni ransomware in passato.

Tuttavia, una funzionalità viene utilizzata, ed alcuni sviluppatori affermano di aver automatizzato la distribuzione del ransomware in un dominio Windows senza la necessità di script. Quando i responsabili delle minacce violano una rete e alla fine ottengono il controllo del controller di dominio, utilizzano software di terze parti per distribuire script che disabilitano l’antivirus e quindi eseguono il ransomware sui computer della rete.

In campioni del ransomware LockBit 2.0 scoperto da  MalwareHunterTeam  e analizzato da BleepingComputer e  Vitali Kremez , gli attori delle minacce hanno automatizzato questo processo in modo che il ransomware si distribuisca in un dominio quando viene eseguito su un controller di dominio. Una volta eseguito, il ransomware creerà nuovi criteri di gruppo sul controller di dominio che verranno quindi inviati a tutti i dispositivi della rete. 

Questi criteri disabilitano la protezione in tempo reale di Microsoft Defender, gli avvisi, l’invio di campioni a Microsoft e le azioni predefinite durante il rilevamento di file dannosi, come mostrato di seguito.

[General]
Version=%s
displayName=%s
[Software\Policies\Microsoft\Windows Defender;DisableAntiSpyware]
[Software\Policies\Microsoft\Windows Defender\Real-Time Protection;DisableRealtimeMonitoring]
[Software\Policies\Microsoft\Windows Defender\Spynet;SubmitSamplesConsent]
[Software\Policies\Microsoft\Windows Defender\Threats;Threats_ThreatSeverityDefaultAction]
[Software\Policies\Microsoft\Windows Defender\Threats\ThreatSeverityDefaultAction]
[Software\Policies\Microsoft\Windows Defender\Threats\ThreatSeverityDefaultAction]
[Software\Policies\Microsoft\Windows Defender\Threats\ThreatSeverityDefaultAction]
[Software\Policies\Microsoft\Windows Defender\Threats\ThreatSeverityDefaultAction]
[Software\Policies\Microsoft\Windows Defender\UX Configuration;Notification_Suppress]

Vengono creati altri criteri di gruppo, incluso uno per creare un’attività pianificata sui dispositivi Windows che avviano l’eseguibile del ransomware.

Il ransomware eseguirà quindi il seguente comando per inviare l’aggiornamento dei criteri di gruppo a tutte le macchine nel dominio Windows.

powershell.exe -Command "Get-ADComputer -filter * -Searchbase '%s' | foreach{ Invoke-GPUpdate -computer $_.name -force -RandomDelayInMinutes 0}"

Durante questo processo, il ransomware utilizza anche le API di Windows Active Directory per eseguire query LDAP sull’ADS del controller di dominio per ottenere un elenco di computer.

Utilizzando questo elenco, l’eseguibile del ransomware verrà copiato sul desktop di ciascun dispositivo e l’attività pianificata configurata dai criteri di gruppo avvierà il ransomware utilizzando il bypass UAC di seguito:

Software\Microsoft\Windows NT\CurrentVersion\ICM\Calibration "DisplayCalibrator"

Poiché il ransomware verrà eseguito utilizzando un bypass UAC, il programma verrà eseguito silenziosamente in background senza alcun avviso esterno sul dispositivo crittografato. Sebbene MountLocker avesse precedentemente utilizzato le API di Windows Active Directory per eseguire query LDAP, questa è la prima volta che vediamo un ransomware automatizzare la distribuzione del malware tramite criteri di gruppo.

“Questa è la prima operazione ransomware per automatizzare questo processo e consente a un attore di minacce di disabilitare Microsoft Defender ed eseguire il ransomware sull’intera rete con un singolo comando”, ha detto Kremez a BleepingComputer.

“È stata trovata una nuova versione del ransomware LockBit 2.0 che automatizza l’interazione e la successiva crittografia di un dominio Windows utilizzando i criteri di gruppo di Active Directory.”

“Il malware ha aggiunto un nuovo approccio all’interazione con la directory attiva che propaga il ransomware ai domini locali, nonché l’aggiornamento integrato della politica globale con la disattivazione dell’antivirus, rendendo le operazioni “pentester” più facili per i nuovi operatori di malware”.

“Would you like to earn millions of dollars?
Our company acquire access to networks of various companies, as well as insider information that can help you steal the most valuable data of any company.
You can provide us accounting data for the access to any company, for example, login and password to RDP, VPN, corporate email, etc. Open our letter at your email. Launch the provided virus on any computer in your company.
Companies pay us the foreclosure for the decryption of files and prevention of data leak.
You can communicate with us through the Tox messenger
https://tox.chat/download.html
Using Tox messenger, we will never know your real name, it means your privacy is guaranteed.
If you want to contact us, use ToxID: xxxx”

Ed in italiano l’offerta risulta essere così:

“Vorresti guadagnare milioni di dollari?
La nostra azienda acquisisce l’accesso a reti di varie aziende, nonché informazioni privilegiate che possono aiutarti a rubare i dati più preziosi di qualsiasi azienda.
Puoi fornirci dati contabili per l’accesso a qualsiasi azienda , ad esempio, login e password per RDP, VPN, e-mail aziendale, ecc. Apri la nostra lettera alla tua e-mail. Avvia il virus fornito su qualsiasi computer della tua azienda. Le
aziende ci pagano la preclusione per la decrittazione dei file e la prevenzione della perdita di dati .
puoi comunicare con noi attraverso il messaggero Tox
https://tox.chat/download.html
Utilizzando Tox messaggero, non lo sapremo mai il tuo vero nome, significa che la vostra privacy è garantita.
Se si desidera contattarci, utilizzare Toxid: xxxx”

Il testo completo, con le informazioni di contatto oscurate, spiega che LockBit è alla ricerca di credenziali RDP, VPN, e-mail aziendali che possono essere utilizzate per accedere alla rete. La “banda del ransomware” dice anche che invierà all’insider un “virus” che dovrebbe essere eseguito su un computer, probabilmente per dare agli hacker del ransomware l’accesso remoto alla rete.

Tuttavia, questo messaggio è probabilmente destinato a consulenti IT esterni che potrebbero visualizzare il messaggio mentre rispondono a un attacco. Sebbene questa tattica possa sembrare inverosimile, non è la prima volta che gli autori delle minacce tentano di reclutare un dipendente per crittografare la rete della loro azienda. Nell’agosto 2020, l’FBI ha arrestato un cittadino russo per aver tentato di  reclutare un dipendente Tesla per installare malware  sulla rete della Gigafactory del Nevada di Tesla.

 

LockBit 2.0 stampa richieste di riscatto su tutte le  stampanti di rete

LockBit 2.0 include anche una funzionalità precedentemente utilizzata dall’operazione Egregor Ransomware che stampa la richiesta di riscatto su tutte le stampanti in rete. Quando il ransomware ha finito di crittografare un dispositivo, stamperà ripetutamente la richiesta di riscatto su qualsiasi stampante di rete connessa per attirare l’attenzione della vittima, come mostrato di seguito.

Ovviamente l’articolo non è istigazione a delinquere, ma un modo esplicito di spiegare il reclutamento degli addetti ai lavori
Quindi aziende, società, PA, abbiate fiducia nei vostri tecnici IT, e date il giusto valore al loro certosino lavoro!