LockBit 5.0 ha surgido como la última iteración de una de las operaciones de ransomware-as-a-service más activas del mundo, continuando un legado de ataques sofisticados desde la aparición del grupo en septiembre de 2019. Esta nueva versión representa una evolución significativa en el panorama de amenazas, introduciendo mecanismos de cifrado mejorados y capacidades avanzadas de anti-análisis

LockBit 5.0 ha aparecido como la última iteración de una de las operaciones de ransomware-as-a-service más activas del mundo, continuando un legado de ataques sofisticados desde la aparición del grupo en septiembre de 2019. Esta nueva versión representa una evolución significativa en el panorama de amenazas, introduciendo mecanismos de cifrado mejorados y capacidades avanzadas de anti-análisis que hacen que la detección y la recuperación sean exponencialmente más difíciles para las organizaciones. El malware opera a través de un proceso de ataque coordinado de tres pasos: acceso inicial al sistema a través de vulnerabilidades o credenciales comprometidas, movimiento lateral combinado con elevación de privilegios y, finalmente, despliegue completo del ransomware en las redes de las víctimas. El impacto financiero de las operaciones de LockBit sigue siendo asombroso. Entre agosto de 2021 y agosto de 2022, el grupo se atribuyó la responsabilidad del 30,25 por ciento de todos los ataques de ransomware conocidos a nivel mundial. Incluso a medida que las fuerzas del orden intensificaron las operaciones contra el grupo, LockBit mantuvo su dominio, representando aproximadamente el 21 por ciento de los ransomware ataques solo en 2023. Empresas que abarcan los sectores de TI, electrónica, bufetes de abogados e instituciones religiosas han sido víctimas de estos ataques, con pagos de rescate y costos de recuperación que alcanzan miles de millones de dólares en todo el mundo. La plataforma web oscura del grupo continúa listando públicamente organizaciones comprometidas y sus datos robados como táctica de presión. Los analistas de ASEC notaron que LockBit 5.0 introduce flexibilidad en tiempo de ejecución, operando normalmente incluso cuando se implementa sin parámetros específicos. El malware termina los procesos relacionados con el Servicio de copia de volumen en sombra para evitar intentos de recuperación del sistema, al tiempo que emplea técnicas avanzadas de empaquetado y ofuscación para complicar el análisis estático de seguridad. Lo más crítico es que el ransomware implementa algoritmos criptográficos de última generación que combinan ChaCha20-Poly1305 para el cifrado de archivos con X25519 y BLAKE2b para el intercambio seguro de claves, lo que hace que los archivos cifrados sean imposibles de recuperar utilizando solo información del sistema local.

Mecanismo de cifrado avanzado

El proceso de cifrado representa una obra maestra en la implementación de la criptografía moderna. Antes de iniciar el cifrado de archivos, LockBit 5.0 elimina sistemáticamente los archivos temporales de las rutas estándar de Windows, incluidas las carpetas AppData\Local\Temp, eliminando los datos de caché innecesarios para acelerar el proceso de cifrado. El malware luego desactiva los servicios del sistema críticos utilizando valores hash codificados, apuntando a las soluciones de respaldo y seguridad, incluyendo Veeam, Backup Exec y Microsoft Edge Update services para eliminar los mecanismos de protección de la competencia. El cifrado real opera a través de un intrincado proceso matemático. El malware genera dos números aleatorios separados de 32 bytes derivados de la hora del sistema y la información de la memoria. Utilizando la criptografía de curva elíptica, deriva la clave privada de la víctima, genera las claves públicas correspondientes y calcula un valor secreto compartido que combina la clave privada de la víctima con la clave pública del atacante. Para los archivos de menos de 8 megabytes, el primer número aleatorio se somete al hash BLAKE2b para generar una clave de cifrado de 32 bytes, que luego produce un flujo de claves ChaCha20 de 64 bytes. Este flujo de claves se somete a operaciones XOR con los datos objetivo, creando el archivo cifrado final. Cuando los archivos exceden este umbral, LockBit 5.0 divide los datos en fragmentos de 8 megabytes, procesando cada uno de forma independiente con funciones hash personalizadas. Después de completar el cifrado, el malware agrega metadatos críticos, incluidos los tamaños de archivo, los números aleatorios cifrados, los valores de autenticación y la clave pública de la víctima, asegurando que solo los atacantes que posean su clave privada puedan descifrar los datos. Esta sofisticación técnica refleja años de evolución del ransomware, posicionando a LockBit 5.0 como una de las amenazas más formidables en el panorama de amenazas contemporáneo.

Fuentes:
https://cybersecuritynews.com/lockbit-5-0-emerges/