RANSOMWARE – LockBit 3.0

[mrwebfeeder]

---

Nombre: LockBit Black (LockBit 3.0)

Familia: LockBit

Categoría: Ransomware-as-a-Service (RaaS)

Fecha de descubrimiento: 2022

Comportamiento (lo que hace y archivos que infecta):
- Cifrado ultrarrápido:
- Optimizado para cifrar grandes volúmenes de archivos en muy poco tiempo.
- Recorre unidades locales, unidades de red mapeadas y shares (SMB/NAS).
- Cifra documentos Office, PDF, imágenes, proyectos, bases de datos, VMs y backups accesibles.
- Exfiltración de datos:
- Antes o durante el cifrado, exfiltra información sensible:
- Documentación interna, datos de clientes, proyectos, bases de datos.
- Los datos robados se usan para presionar a la víctima (amenaza de filtración pública).
- Sistema de doble extorsión:
- Combina:
- Cifrado de archivos (indisponibilidad de datos).
- Amenaza de publicar o subastar la información robada si no se paga el rescate.
- En muchos casos, la filtración parcial de datos sirve como “demostración” de que el robo fue real.
- Suele detener servicios y procesos que bloquean archivos (bases de datos, aplicaciones de backup) para maximizar el número de ficheros cifrados y el daño operativo.

Persistencia:
- Tarea programada con nombre aleatorio:
- Crea una tarea programada (schtasks) con nombre aparentemente aleatorio o que imita tareas del sistema.
- Esta tarea apunta al binario del ransomware o a un loader, y se configura para ejecutarse en:
- Inicio de sesión.
- Arranque del sistema.
- Intervalos de tiempo concretos.
- Puede combinarse con:
- Copia del binario en rutas como

Code:

C:\ProgramData\

o carpetas de usuario.
- Uso de credenciales comprometidas y herramientas de administración remota (RDP, PSExec, etc.) para relanzar el payload si se interrumpe la primera ejecución.

Hash real de referencia (SHA-256):
Muestra pública asociada a LockBit Black (LockBit 3.0):

Code:

8d47d8bcbb2b87e0a5bdb9786ba89e5cc017bc4e310e1c0ef5c975c3ac3e0728

Mitigación con GetOverX Shield v3.0.2.0 o superior:

• EDR con bloqueo de comportamiento:
  - Activar el motor de EDR con reglas específicas de ransomware para detectar:
  - Cifrado masivo y cambios rápidos de extensión en miles de archivos.
  - Accesos intensivos a shares de red y unidades mapeadas.
  - Configurar respuesta automática para:
  - Matar el proceso responsable del cifrado.
  - Bloquear el hash del ejecutable.
  - Generar alerta crítica y (opcional) iniciar aislamiento de red del host afectado.
  
  
• Segmentación de red:
  - Dividir la red en segmentos (VLANs / zonas) para evitar que un solo host comprometido:
  - Acceda directamente a todos los servidores de ficheros y backups.
  - Pueda cifrar de forma masiva recursos compartidos críticos.
  - Usar el firewall de GetOverX Shield para:
  - Restringir SMB/RDP/administración sólo a orígenes/destinos autorizados.
  - Detectar y frenar intentos de movimiento lateral sospechoso.
  
  
• Copias offline:
  - Mantener copias de seguridad offline o inmutables:
  - No montadas ni accesibles desde las mismas credenciales usadas en producción.
  - Verificadas de forma periódica con pruebas de restauración.
  - Tras un incidente:
  - Limpiar los sistemas con GetOverX Shield (AV + EDR).
  - Restaurar datos únicamente desde backups offline verificados, asegurando que no contienen el ransomware ni sus loaders.
  

---

Notas opcionales:
- LockBit Black es una de las variantes más agresivas de la familia LockBit, con alta velocidad de cifrado y modelos de afiliación RaaS que facilitan su adopción por múltiples grupos de atacantes diferentes.