LockBit

LockBit היא כנופיית סייבר שמספקת תוכנות כופר כשירות (RaaS). תוכנת הכופר שפותחה על ידי הכנופיה מאפשרת ללקוחותיה לבצע התקפות שבהן מוצפנים נתוני הקורבן ודורשים תשלום כופר, וכן מאיימים להדליף אותו לציבור אם דרישותיהם לא ייענו.

בשנת 2022 הייתה LockBit תוכנת הכופר הנפוצה ביותר על פי סוכנויות ממשלתיות שונות. לפי הערכות, בתחילת 2023 הייתה התוכנה אחראית ל-44% מתקיפות הכופר ברחבי העולם.

בין ינואר 2020 למאי 2023 בוצע בארצות הברית כ-1,700 התקפות באמצעות LockBit, ו-91 מיליון דולר ששולמו כופר להאקרים.

המניע לקבוצה הוא כלכלי, והקבוצה לא שויכה באופן רשמי לשום מדינת לאום. תוכנה עם השם "LockBit" הופיעה בפורום פשעי סייבר מבוסס בשפה הרוסית בינואר 2020.

בפברואר 2024 השתלטו רשויות אכיפת החוק על אתרי אינטרנט אפלים של LockBit המשמשים להתקפות. עם זאת, מאוחר יותר דווחו ניסיונות מאוחרים יותר לשימוש בתוכנת כופר של LockBit. Developments added as they happen; latest 22 February 2024

 תיאור 
תוכנת LockBit נכתבה בשפות התכנות C ו-C++. תוכנת LockBit-NG-Dev שהייתה בפיתוח בעת תפיסת הכנופיה על ידי הרשויות בשנת 2024 פותחה ב-. NET. התוכנה מקבל גישה ראשונית למערכות מחשב באמצעות גישה שניתנת לה, תוך ניצול פרצות ידועות בתוכנות שלא עודכנו, ניצול גישה פנימית וניצול פגיעויות יום אפס, בדומה לתוכנות זדוניות אחרות. לאחר מכן משתלטת LockBit על המערכת הנגועה, אוספת נתוני רשת וגונבת ומצפינה נתונים. לאחר מכן מקבל הקורבן דרישה לשלם כופר על מנת לפענח את הנתונים שלו כך שיהיו זמינים שוב ולמחיקת העותק של מבצעי התקיפה, תוך איום לפרסם את המידע בצורה פומבית. (הנתונים אמנם אינם מתפרסמים אם הכופר ישולם, אך נמצא כאשר LockBit הוסר על ידי רשויות החוק שהוא לא נמחק.)

LockBit נהנתה מתשומת לב בין היתר הודות לשימוש בתוכנה הזדונית הנקראת "StealBit", אשר מעבירה אוטומטית את הנתונים לידי הפורץ. יכולת זו הוצגה עם שחרורו של LockBit 2.0, בעל יכולות הצפנה מהירות ויעילות. כדי להרחיב את התפוצה שלה הוציאה LockBit גם גרסת Linux-ESXI Locker 1.0, המכוונת למארחי לינוקס, במיוחד שרתי VMware ESXi .

LockBit משתפת פעולה עם קבוצות פליליות אחרות. הם שוכרים אנשים עם גישה לרשת, משתפים פעולה עם ארגונים כמו Maze ומגייסים מקורבים מחברות יעד. כדי למשוך האקרים מוכשרים, הם תמכו בתחרויות כתיבה טכנית מחתרתית.

הכנופיה תקפה תעשיות שונות ברחבי העולם, עם זאת, מגזרי הבריאות והחינוך הם הקורבנות הגדולים ביותר. לפי Trend Micro, מבחינת ניסיונות תקיפה, ארצות הברית, הודו וברזיל הן מדינות היעד העיקריות.

LockBit יעיל וניתן להתאמה: הם מדגישים את המהירות והיכולות שלהם למשוך קורבנות. הם לוקחים בחשבון גורמים חיצוניים כמו חוקי פרטיות נתונים כאשר הם מכוונים לקורבנות פוטנציאליים. ההצלחה של LockBit מסתמכת גם על תוכנית השותפים שלהם.

LockBit הוציאה הודעה ברשת האפלה כי היא "ממוקמת בהולנד, א-פוליטית לחלוטין ומתעניינת רק בכסף".

 טכניקות וטקטיקות 
האקרים של LockBit משיגים לעיתים קרובות גישה ראשונית על ידי ניצול שרתי Remote Desktop Protocol (RDP) פגיעים או תוך ניצול של אישורים שהושגו משותפים. אמצעים נוספים לגישה ראשונית כוללים הודעות דיוג עם קבצים מצורפים או קישורים זדוניים, סיסמאות RDP חלשות או VPN חלשות וניצול נקודות תורפה כגון CVE-2018-13379 ב-VPN של Fortinet .

תוכנת הכופר LockBit מופעלת לרוב ב־Microsoft Windows באמצעות שורת הפקודה, משימות מתוזמנות או סקריפטים של PowerShell כגון PowerShell Empire. התוכנה משתמשת בכלים כגון Mimikatz, GMER, Process Hacker ועריכות רישום כדי לאסוף אישורים, להשבית מוצרי אבטחה ולהתחמק מהגנות. התוכנה עוברת על חיבורי הרשת כדי לזהות יעדים בעלי ערך גבוה כגון שרתי הזדהות באמצעות סורקים כגון Advanced Port Scanner.

להתפשטות ברשת עושה LockBit שימוש בחיבורי פרוטוקול שיתוף הקבצים SMB, באמצעות אישורים שנאספו קודם לכן. שיטות נוספות כוללות הפצה של עצמה באמצעות אובייקטי מדיניות קבוצתית שנפגעו, או שימוש בכלים כגון PsExec או Cobalt Strike .

LockBit מצפינה קבצים ושיתופי רשת בהצפנות AES ו-RSA. היא מצפינה רק את הקילו-בייט הראשונים של כל קובץ לעיבוד מהיר יותר, ומוסיף סיומת ".lockbit". לאחר מכן LockBit מחליף את טפט שולחן העבודה בפתק כופר; התוכנה יכולה גם להדפיס דרישות כופר למדפסות מחוברות. המטרה היא לסחוט תשלום כופר כדי לבטל את השיבוש במערכת ולשחזר את הגישה לקבצים.

 היסטוריה 
נוזקת LockBit נודעה בעבר בשם ".abcd", על שם סיומת הקבצים שנוספה לקבצים מוצפנים.

LockBit נצפתה לראשונה בספטמבר 2019.

 LockBit 2.0 
ב-2021 הופיעה LockBit 2.0, והתפרסמה בתקיפת אקסנצ'ר באותה שנה, שם כנראה עובד בחברה עזר לקבוצה לפרוץ לרשת. LockBit פרסמה חלק מהנתונים שנגנבו בהתקפה זו. 

באוקטובר 2021 טענה הכנופיה שפרצה למידע של חברת המל"טים הישראלית אמית שנרכשה על ידי יוויז'ן אייר.

בינואר 2022 נפלה חברת האלקטרוניקה Thales קורבן למתקפה של Lockbit 2.0.

ביולי 2022 הותקפו שירותי הניהול של La Poste Mobile.

בספטמבר 2022 טענו האקרים של הקבוצה למתקפות סייבר נגד 28 ארגונים, מהם 12 ארגונים צרפתיים. ביניהם, בית החולים קורביל שהותקף ונדרש לכופר של 10 מיליון דולר.

באוקטובר 2022 קיבלה כנופיית LockBit אחריות למתקפה על קמעונאי הרכב הבריטי Pendragon PLC, ודרשה כופר של 60 מיליון דולר כדי לפענח את הקבצים ולא להדליף אותם; החברה מסרבה כי היא מסרבת לדרישה.

ב-31 באוקטובר 2022 טענה הכנופיה כי Thales Group הותקפה בשנית. הכנופיה לא דרשה כופר, אך אימה בפרסום הנתונים, והציעה סיוע ללקוחות תאלס שנפגעו מהגנבה, על מנת להגיש תלונה נגד תאלס "שהתעלמה לחלוטין מכללי הסודיות". ב-10 בנובמבר 2022 פרסמה קבוצת LockBit 3.0 ברשת האפלה ארכיון של 9.5 GB עם מידע גנוב על חוזי תאלס באיטליה ומלזיה.

בנובמבר 2022 הותקפה OEHC - Office d'Équipement Hydraulique de Corse, וזו לא הגיבה לדרישת הכופר.

בדצמבר 2022 קיבלה כנופיית LockBit אחריות על המתקפה על מינהל הכספים של קליפורניה. משרד המושל הכיר בכך שהוא קורבן להתקפה, מבלי לציין את היקף הפגיעה. Lockbit טוענת שגנבה 246,000 קבצים בגודל כולל של 75.3 GB.

בדצמבר 2022 הכנופיה העמידה דרישת כופר של 1.5 מיליון דולר לנמל ליסבון, בדרישה שישולם עד 18 בינואר 2023.

ב-18 בדצמבר 2022 הותקף את בית החולים לילדים חולים של טורונטו. לאחר שהבינו את הטעות שלהם, עצרה הכנופיה המתקפה, התנצלה והציעה פתרון חינמי לשחזור הקבצים המוצפנים.

 LockBit 3.0 
בסוף יוני 2022 השיקה הכנופיה את הגרסה האחרונה של תוכנת הכופר, "LockBit 3.0", לאחר חודשיים של בדיקות בטא. הקבוצה הציגה תוכנית באגים, הראשונה מסוגה בתחום פעולות כופר. הם הזמינו חוקרי אבטחה לבדוק את התוכנה שלהם כדי לשפר את האבטחה, והציעו תגמולים כספיים משמעותיים שנעים בין 1,000 דולר ל-$1 מִילִיוֹן.

באוגוסט 2022 הותקפה יצרנית הציוד הגרמנית Continental. בנובמבר 2022, לאחר שדרישת הכופר שלה לא נענתה, פרסמה הכנופיה חלק מהנתונים הגנובים והציעה גישה לכל אלה תמורת 50 מיליון יורו. בין הנתונים הגנובים, מידע על חייהם הפרטיים של עובדי החברה וכן חילופי דברים עם יצרניות רכב גרמניות. מעבר לגניבת הנתונים, הסכנה טמונה בפתיחת הדרך לריגול תעשייתי. ואכן, בין תחלופות המידע עם פולקסווגן ישנם היבטי IT, החל מנהיגה אוטומטית ועד בידור, שבהם רצתה פולקסווגן שקונטיננטל תשקיע.

בנובמבר 2022 הודיע משרד המשפטים האמריקאי על מעצרו של מיכאיל וסילייב, בעל אזרחות כפולה, רוסית וקנדית, בקשר עם כנופיית LockBit. לפי האישומים וסילייב קשר קשר עם אחרים המעורבים ב-LockBit בתוכנה ששימשה ביותר מ-1,000 התקפות ברחבי העולם נכון לנובמבר 2022. לפי הדיווחים, מפעילי LockBit הגישו לפחות 100 מיליון דולר בדרישות כופר, מהן עשרות מיליונים שולמו על ידי קורבנות. המעצר הגיע בעקבות חקירה של 2.5 שנים על כנופיית LockBit על ידי משרד המשפטים.

בינואר 2023 טענה הכנופיה כי תקפה את החברות הצרפתיות: חברת מוצרי הצריכה Nuxe והמרפאות הפרטיות ELSAN. הכנופיה גנבה 821 ג'יגה-בייט של נתונים ממטה החברה. באותו חודש, נפגעו גם שירותי הדואר המלכותי הבריטי בשל תקיפה של Lockbit.

בפברואר 2023 קיבלה הקבוצה אחריות למתקפה על רשת חנויות הספרים הקנדית Indigo Books and Music. במרץ לקחה הקבוצה אחריות על תקיפת חברת המים הצרפתית BRL Group. ב-16 במאי 2023 תקפה הכנופיה לראשונה חברה סינית - הסניף ההונג קונגי של העיתון China Daily. קבוצת LockBit לא תקפה ישויות רוסיות ונמנעה מתקיפת בעלות ברית רוסיות.

במאי 2023 קיבלה הכנופיה אחריות על תקיפת , שבה נגנבו כ-10,000 מסמכי זהות מתיקי הלקוחות של החברה.

ביוני 2023 הודיע משרד המשפטים של ארצות הברית ל אישומים פליליים נגד רהאזוח הרוסי רסלן מגומדוביץ' אסטמירוב על חלקו בפעילות של LockBit. על פי כיתוב האישום, הוא ביצע ישירות לפחות חמש התקפות כופר נגד קורבנות וקיבל חלק מתשלומי הכופר בביטקוין.

בסוף יוני 2023 נפלה TSMC קורבן להתקפת תוכנת כופר דרך אחד הספקים שלה. LockBit דרשה כופר של 70 מיליון דולר.

ביולי 2023 הותקף נמל נאגויה ביפן, המטפל ב-10% מהמסחר במדינה. התקיפה פגעה בשירותי המכולות.

באוקטובר 2023 טענה LockBit שגנבה נתונים רגישים מבואינג . כמה ימים לאחר מכן הכירה בואינג בכך שנפלה קורבן לתקרית סייבר שהשפיעה על חלק מעסקי החלקים וההפצה שלה.

בנובמבר 2023, הותקפה חברת הבת האמריקאית של בנק סין לתעשייה ומסחר. בלומברג דיווחו כי היחידה האמריקאית של הבנק באותה תקופה נחשבה למלווה הגדולה בעולם לפי נכסים.

באותו החודש פרסמה LockBit נתונים פנימיים שהקבוצה גנבה חודש קודם לכן מבואינג לאינטרנט.

כן כן כנופיית LockBit תקפה את חברת המסחר של שיקגו ואת Alphadyne Asset Management . בלומברג דיווח כי הפריצה לחברת המסחר אירעה באוקטובר. מאז 2020 ביצעה הכנופיה 1,700 התקפות וסחטה 91 מיליון דולר, לפי סוכנות אבטחת הסייבר והתשתיות האמריקאית . The Register דיווח בסוף נובמבר 2023 כי LockBit מתמודדת עם קשיים פנימיים, וכי מנהיגי הכנופיה משנים חלק משיטות המשא ומתן שלה עם קורבנות בתגובה לשיעור התשלום הנמוך שהושג.

בינואר 2024 תקפה כנופיית LockBit את מחשבי מחוז פולטון בג'ורג'יה שבארצות הברית. בהודעה מטעם המחוז נטען שהמחוז סירב לשלב את הכופר, שהתקיפה זה לא קשורה לתהליך הבחירות, ושלא נגנב מידע רגיש.

במאי 2024 לקחה כנופיית LockBit אחריות על מתקפה על הקמעונאית הקנדית London Drugs, שסגרה את כל אתריה ברחבי קנדה. LockBit איימה אז לשחרר נתונים תוך 48 שעות אם לא ישולם כופר של 25 מיליון דולר. London Drugs הצהירו כי הם "לא מוכנים ואינם יכולים לשלם כופר". ב-23 במאי 2024 אישרה החברה כי נתונים הודלפו על ידי הכנופיה, וכי לעובדים שנפגעו מוצעים שירותי הגנה מפני גניבת זהות.

ביוני 2024 הותקף מרכז החולים האוניברסיטאי בזאגרב, המתקן הרפואי הגדול ביותר בקרואטיה. מתקפת הסייבר גרמה להפרעה משמעותית. LockBit טענה כי חילצה מספר רב של תיקים, כולל רשומות רפואיות ופרטי עובדים, ודרשה סכום לא ידוע בתמורה לאי פרסום הנתונים. ממשלת קרואטיה סירבה לדרישות.

 LockBit-NG-Dev 
בפברואר 2024 כאשר נסגרו שרתי LockBit על ידי רשויות אכיפת החוק, נמצא כי גרסה חדשה, LockBit-NG-Dev, הייתה בשלבי פיתוח מתקדמים; טרנד מיקרו פרסמה דוח מפורט על כך.

 תפיסה על ידי רשויות החוק ב-2024 
ב-19 בפברואר 2024 כחלק ממבצע קרונוס השתלטה סוכנות הפשע הלאומית הבריטית בשיתוף עם יורופול וסוכנויות אכיפת חוק בינלאומיות אחרות על אתרי רשת אפלה השייכים לכנופיית תוכנת הכופר LockBit. אדם אחד נעצר באוקראינה, אחד בפולין ושניים בארצות הברית. שני רוסים נקראו גם הם, אך לא נעצרו. באמצעות המידע שנתפס, שוחרר לשימוש חופשי מפצח לביטול הצפנת LockBit 3.0.

לאחר ההשתלטות פרסמו רשויות אכיפת החוק מידע על הקבוצה באתר האינטרנט שלה, ובפרט מידע על כך שיש לה לפחות 188 שותפים. רשויות אכיפת החוק השיגו גם 30,000 כתובות ביטקוין ששימשו לניהול רווחי הקבוצה מתשלומי כופר, שהכילו 2,200 BTC (112 מיליון דולר).

ב-24 בפברואר 2024 הופיע אתר חדש שטען שהוא מנוהל על ידי LockBit. האתר החדש מנה יותר מתריסר קורבנות לכאורה, כולל ה-FBI, בתי חולים ומחוז פולטון בג'ורג'יה.

בפברואר פרסם מערך הסייבר הלאומי בישראל דוח פעילות על תקיפות LockBit בישראל, וייחס להן את מרב התקיפות בישראל בחודשים שקדמו לפרסום.דו"ח פעילות: תקיפות כופרת LockBit 3.0 במרחב הישראלי, מערך הסייבר הלאומי, פברואר 2024

ב-7 במאי 2024 הוכרזו אישומים וסנקציות נגד דמיטרי חורושב, שנחשד כמנהל ומפתח של LockBit.

ב-21 במאי 2024 נטלה הכנופיה אחריות על מתקפה על משרדי רשת הקמעונאות הקנדית London Drugs, ודרשה תשלום של 25 מיליון דולר. בעקבות המתקפה נסגרו כל חנויות London Drugs ברחבי המדינה בין ה-28 באפריל ל-7 במאי 2024. London Drugs סירבה לשלם את הכופר, והצהירה כי נתוני הלקוחות לא נפגעו.

ביוני 2024 נפרץ בנק Evolve Bank &amp; Trust, שלו שותפויות עם Stripe, Mercury, Affirm ו־Airwallex . הקבוצה איימה להדליף נתונים מהפדרל ריזרב האמריקאי, אך נראה שהנתונים שהודלפו הגיעו ישירות מ-Evolve, ולא מהפדרל ריזרב.

ב-18 באוגוסט 2024 נעצר בישראל אחד ממפתחי הכופרה רוסטיסלב פאנב, ובאוקטובר עתרה הפרקליטות בבקשה להכריז עליו בר הסגרה לארצות הברית.

קישורים חיצוניים
 דו"ח פעילות: תקיפות כופרת LockBit 3.0 במרחב הישראלי, מערך הסייבר הלאומי, פברואר 2024
 הערות שוליים 

קטגוריה:תוכנות כופר
קטגוריה:קבוצות האקרים
קטגוריה:פשעי מחשב