LockBit атакує сервери домену Windows у В'єтнамі

Експерти з безпеки кажуть, що шкідливе програмне забезпечення внесло багато складніших удосконалень, як у свій скрипт шифрування, так і в систему поширення, здатних обійти звичайні рішення безпеки.

Протягом останніх 2 місяців експерти Bkav постійно отримували запити на допомогу від багатьох підприємств у В'єтнамі з поширеною ситуацією, коли комп'ютери у внутрішній мережі були зашифровані одночасно, і дані не могли бути збережені.

LockBit tấn công các máy chủ Windows Domain tại Việt Nam- Ảnh 1. — LockBit 3.0 починає «вибухати» у В'єтнамі

Результати розслідувань та аналізу багатьох випадків показують, що винуватцем шифрування даних є LockBit 3.0, також відомий як LockBit Black, програма-вимагач відомої хакерської групи, нещодавно знищена Міжнародним поліцейським альянсом (включаючи Національне агентство з боротьби зі злочинністю Великої Британії (NCA), Федеральне бюро розслідувань США (ФБР) та Поліцейське агентство Європейського Союзу (Європол).

LockBit Black має більш складні вдосконалення, ніж попередні варіанти. Вони спеціально розроблені для атаки на сервери керування доменом Windows у внутрішній системі. Після проникнення вірус використовує ці сервери для подальшого поширення по всій системі, вимикаючи засоби безпеки (вимикаючи антивірус, брандмауер), копіюючи та виконуючи шкідливий код... Таким чином, вірус може шифрувати всі машини у внутрішній системі одночасно, не атакуючи кожну машину окремо, як раніше.

LockBit Black не лише змінює свій метод і ціль, але й має більш небезпечний сценарій шифрування даних. Замість безпосереднього шифрування даних під час запуску, вірус підвищує свої привілеї, потім обходить UAC і, нарешті, перезавантажує комп'ютер жертви в безпечному режимі (режим, у якому запускається лише система та деякі програми) та виконує шифрування даних у цьому режимі. Таким чином, шкідливе програмне забезпечення може обійти поширені рішення безпеки.

Щоб уникнути атак LockBit, а також інших вірусів шифрування даних, експерти Bkav рекомендують користувачам та системним адміністраторам:

Регулярно робіть резервні копії важливих даних.
Не відкривайте внутрішні сервісні порти для доступу до Інтернету, якщо в цьому немає потреби.
Оцініть безпеку сервісів, перш ніж відкривати їх для Інтернету.
Встановіть достатньо потужне антивірусне програмне забезпечення для постійного захисту.

Посилання на джерело