{"id":292709,"date":"2024-02-25T02:05:05","date_gmt":"2024-02-25T01:05:05","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=292709"},"modified":"2024-06-12T23:52:22","modified_gmt":"2024-06-12T21:52:22","slug":"lockbit-ransomware-gruppe-zurck-und-neue-erkenntnisse","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2024\/02\/25\/lockbit-ransomware-gruppe-zurck-und-neue-erkenntnisse\/","title":{"rendered":"LockBit Ransomware-Gruppe zurück? Und neue Erkenntnisse"},"content":{"rendered":"

\"Sicherheit[English<\/a>]Die Tage haben internationale Strafverfolger die Zerschlagung der Infrastruktur der LockBit-Ransomware-Gruppe bekannt gegeben. Allerdings scheint das nur ein kurzer Erfolg gewesen zu sein – die LockBit-Ransomware-Gruppe hat neue Server aufgesetzt und scheint zur\u00fcck im Gesch\u00e4ft zu sein. Inzwischen haben sich neue Erkenntnisse nach der Zerschlagung der Infrastruktur der LockBit-Ransomware-Gruppe durch das FBI und die britische National Crime Agency (NCA) ergeben. Neuen Berichten nach soll ein Mitglied der Gruppe mit den Beh\u00f6rden kooperieren.<\/p>\n

<\/p>\n

LockBit-Ransomware-Gruppe gehackt<\/h2>\n

\"\"Lockbit<\/a> ist eine russischsprachige Gruppe, welche Ransomware-as-a-Service ( RaaS) betreibt. Bei diesem-Modell wird die Ransomware und die Infrastruktur anderen Cyberkriminellen, den sogenannten Affiliates, zur Verf\u00fcgung gestellt, die dann die Angriffe durchf\u00fchren. Die Gruppe wird f\u00fcr zahlreiche Cybervorf\u00e4lle verantwortlich gemacht.<\/p>\n

\"Lockbit<\/p>\n

Die Server der Ransomware-Gruppe konnten, wohl wegen einer PHP-Sicherheitsl\u00fccke, gehackt werden. Auf einigen Webseiten der Gruppe wurde die obige Beschlagnahme-Meldung angezeigt. Im Beitrag Operation Cronos: FBI & Co. beschlagnahmen Infrastruktur der Lockbit-Ransomware-Gang<\/a> hatte ich \u00fcber die Beschlagnahmung der LockBit-Infrastruktur durch Strafverfolger (u.a. britische National Crime Agency (NCA) und FBI ) berichtet und einige Details genannt. Weitere Hinweise finden sich auf der Seite der NCA in diesem Artikel<\/a>.<\/p>\n

Trend Micro legt Erkenntnisse vor<\/h2>\n

Sicherheitsanbieter Trend Micro reklamiert, mit Strafverfolgern wie NCA an der Zerschlagung der Gruppe beteiligt gewesen zu sein und die langfristigen Pl\u00e4ne verhindert zu haben. In Zusammenarbeit mit der britischen National Crime Agency (NCA) konnte Trend Micro die noch in der Entwicklung befindliche und unver\u00f6ffentlichte Version des LockBit-Encryptors (genannt Lockbit-NG-Dev) analysieren (siehe unten). Laut Trend Micro sei damit die gesamte Produktlinie f\u00fcr Cyberkriminelle in der Zukunft unbrauchbar gemacht worden. Ein detaillierter englischer Blog-Artikel<\/a> analysiert \u00e4u\u00dferst sensible Daten der cyberkriminellen Gruppierung,<\/p>\n

In einer Stellungnahme, die mir vorliegt, glaubt Trend Micro, dass der LockBit-Gruppe das Gesch\u00e4ftsmodell entzogen wurde. Denn kein vern\u00fcnftiger Krimineller m\u00f6chte mehr mit der diskreditierten Gang in Verbindung gebracht werden, hei\u00dft es. Die Sicherheitsforscher bescheinigen der kriminellen Gruppe LockBit innovativ gewesen zu sein und neue Dinge ausprobiert zu haben. Allerdings sei das dies in letzter Zeit weniger der Fall gewesen.<\/p>\n

LockBit 1.0 bis 3.0<\/h3>\n

Im Laufe dieser Entwicklung hat LockBit mehrere Versionen seiner Ransomware ver\u00f6ffentlicht, von der Version v1 (Januar 2020) \u00fcber LockBit 2.0 (Spitzname \u201eRed\", ab Juni 2021) bis hin zu LockBit 3.0 (\u201eBlack\", ab M\u00e4rz 2022). Im Oktober 2021 begann der Bedrohungsakteur auch Linux mit seiner Ransomware abzudecken. Schlie\u00dflich tauchte im Januar 2023 eine Zwischenversion \u201eGreen\" auf, die Code enthielt, der offenbar von der nicht mehr existierenden Conti-Ransomware<\/a> \u00fcbernommen wurde (was aber nicht die neue Version 4.0<\/a> gewesen ist).<\/p>\n

LockBit 4.0<\/h3>\n

K\u00fcrzlich konnten die Sicherheitsforscher von Trend Micro ein Sample analysieren, das ihrer Meinung nach eine in der Entwicklung befindliche Version einer plattformunabh\u00e4ngigen Malware von LockBit ist, die sich von fr\u00fcheren Versionen unterscheidet. Das Sample f\u00fcgt verschl\u00fcsselten Dateien das Suffix \"locked_for_LockBit\" hinzu, das Teil der Konfiguration ist und daher noch ge\u00e4ndert werden kann. Aufgrund des aktuellen Entwicklungsstandes nannten die TM-Leute diese Variante LockBit-NG-Dev. Diese Variante k\u00f6nnte, nach Meinung der Trend Micro-Spezialisten, die Grundlage f\u00fcr LockBit 4.0 bilden. Zu den grundlegenden \u00c4nderungen geh\u00f6ren Folgende:<\/p>\n