030.【病毒分析】繁体勒索信暗藏玄机！要价50万RMB赎金的Lockbit泄露版分析
输入“/”快速插入内容
030.【病毒分析】繁体勒索信暗藏玄机！要价50万RMB赎金的Lockbit泄露版分析
030.【病毒分析】繁体勒索信暗藏玄机！要价50万RMB赎金的Lockbit泄露版分析
飞书用户7279飞书用户1271
飞书用户54767月2日修改
1.背景
1.1 lockbit家族介绍
LockBit 3.0（也称为 LockBit Black）是LockBit 勒索软件的新变种。前身LockBit最早出现在2019年，安全研究人员一度将其称为ABCD（因为早期变种将加密文件的扩展名改为.abcd）。 2021年，发布Lockbit2.0版本，也称Lockbit RED，加入了双重勒索攻击、删除磁盘卷影和日志文件等新功能。同时还内置了一款名为StealBit的数据窃取木马，该木马是为了支持LockBit Raas附属机构从受害者公司快速窃取敏感数据。被加密后的文件以.lockbit结尾，留下文档Restore-My-Files.txt。 2022年，Lockbit3.0发布，又名LockBit Black，成为全球规模最大的勒索软件变种，且在2023年、2024年继续肆虐。
1.2 lockbit构建器泄露
在 2022 年 9 月，Twitter 用户 3xp0rtblog 宣布该勒索软件的构建器已被 ali_qushji 泄露，可以从 GitHub 上下载。
"招募合作伙伴"：是指LockBit勒索软件运营者主动寻找和吸纳其他人或组织作为合作伙伴或下属，共同参与勒索软件攻击活动。
针对lockbit构建器泄露的分析文章可参考001.Lockbit 3.0勒索病毒加密程序分析报告
LockBit 3.0 Builder 在 Twitter 上泄露
LockBit 3.0 构建器
1.3 首次出现时间
2022年06月
1.4 攻击路径
1.4.1 初始访问
LockBit 3.0 勒索软件的攻击者（附属组织）通过多种方式获取受害者网络的初始访问权限，常见途径包括：
•
远程桌面协议（RDP）漏洞：通过弱口令或已知漏洞进行渗透。
•
路过式攻击：利用访问受感染网站的用户漏洞直接入侵。
•
网络钓鱼：发送含有恶意链接或附件的电子邮件诱骗用户点击。
•
滥用合法账户：利用窃取的有效账户凭据。
•
利用公开服务漏洞：针对面向互联网开放的应用程序进行攻击。
1.4.2. 执行与感染流程
在感染过程中，LockBit 3.0 展示了其高度复杂和自动化的恶意行为，具体包括以下步骤：
1.
权限提升：若发现当前权限不足，LockBit 3.0 会尝试提升权限至管理员级别。
2.
系统信息枚举：勒索软件会收集以下信息：
◦
主机名及主机配置
◦
域信息
◦
本地驱动器及挂载的外部存储设备
◦
远程共享资源
3.
核心操作
◦
终止进程与服务：结束杀毒软件、备份系统等关键服务。
◦
删除数据：清理日志文件、回收站文件夹以及磁盘上的卷影副本。
◦
启用自动登录：为持久化和进一步权限提升做好准备。
◦
启动命令执行：实施恶意命令。