熱帖：勒索工行美國分行的LockBit是個什麼組織？

2023-11-25 | 來源: 賽格大道 | 轉到微信 | 有0人參與評論 | 字體: 放大縮小 | 收藏 | 打印

11月8日，中國工商銀行在美全資子公司——工銀金融服務有限責任公司（ICBCFS），受到Lockbit勒索軟件組織攻擊。

雖然ICBCFS表示，發現攻擊後立即切斷並隔離了受影響系統，但此次攻擊仍然導致部分系統中斷。

由於無法進入系統，因此ICBCFS暫時拖欠紐約(专题)梅隆銀行90億美元的未結算交易。

紐約梅隆銀行是美國公債的唯一結算代理行，因此工行中國母公司向美國分行注資，使其能夠結算交易並償還紐約梅隆銀行的欠款。此外，攻擊還導致中國工商銀行的企業電郵系統停止運作，迫使員工改用Google郵件。

ICBCFS在聲明中表示，正在專業信息安全專家團隊的支持下推進恢復工作，隨後，基本上恢復正常。

Lockbit勒索軟件組織告訴媒體，稱ICBCFS已經按要求支付了贖金。

01

LockBit RaaS是如何上位的？

勒索軟件組織LockBit RaaS成立於2019年。

一開始，全球勒索軟件老大是一個叫Conti的勒索軟件，俄烏戰爭後，團隊中的人各支持一方，發生內訌。

一名來自烏克蘭的成員，為了報復，泄漏他們內部的聊天記錄和數據。信息暴露導致團伙不敢再繼續勒索，LockBit上位成為榜首大哥，他們的口號是：“讓勒索軟件再次偉大。”

根據MS-ISAC 的說法，2022 年，LockBit 是全世界部署最多的勒索軟件變種，並在 2023 年持續“高產”。

在2022年下半年和2023年初，LockBit在所有勒索軟件攻擊中占據了三分之一以上的份額。

近期，美國當局及其在澳大利亞、加拿大(专题)、英國、德國、法國和新西蘭的國際合作伙伴表示，短短三年內，它已成為全球最大的勒索軟件。

LockBit的成員曾經公開表示：我們是有道德准則的，不會攻擊醫療保健、教育、慈善組織和社會服務行業。但實際上，他們的攻擊遍布金融服務、食品和農業、教育、能源、政府和應急服務、醫療保健、制造業和運輸等多個行業。

從地理范圍看，LockBit的攻擊范圍包含亞洲、歐洲和非洲等世界各地，美國是最大受害者。

美國和國際網絡安全機構表示自2020 年以來，該團伙對美國實體組織發動了約 1700 次攻擊，成功勒索了約9100萬美元，遍及金融服務、食品業、學校、交通和政府部門等各個領域。

這些受害者包括大陸汽車巨頭、英國皇家郵政、意大利國內稅務局以及奧克蘭市。

02

LockBit的兩種“盈利模式”

LockBit賺錢的第一個模式是加密重要文件，然後勒索。

LockBit勒索軟件首先通過釣魚郵件、對賬戶進行暴力攻擊、漏洞等方式，獲取網絡的初始訪問權。然後，進入受害者的網絡感染第一個主機，並通過這台主機將感染傳播到網絡中的多個設備。

比如，通過打印機服務器本地賬戶權限作為據點，提升到域管理員權限，逐步定位到域控、Exchange郵件服務器、共享文件服務器等多個核心服務器。

最後，對內網多個終端的關鍵性文件進行加密，並在受害者的受損設備上顯示勒索通知，而只有使用LockBit的專有解密工具才能解密這些文件。

在勒索信中，受害者被告知要用加密貨幣來支付贖金。攻擊者會威脅，如果不及時支付贖金，就會刪除客戶的敏感數據。支付了贖金，文件和系統通常就會被解鎖，但也有可能不講信譽再次勒索。

根據LockBit在暗網上的資料顯示，Lockbit以每秒373M的速度位列所有勒索病毒的第一名，加密100GB的文件僅需要4分半鍾。Lockbit使用 AES 密鑰通過RSA-2048加密。

按目前的計力，要破解RSA-1024位密鑰至少就需要兩年時間，而破解2048位密鑰起碼需要80年。所以，ICBCFS能恢復正常，向Lockbit支付了贖金的說法應該是真實的。

LockBit賺錢的另一個模式是，偷文件，勒索不成就出售或公開這些數據。