LockBit勒索案例分析丨应对勒索攻击的终极指南

2023年6月，Varonis取证团队对一起LockBit勒索攻击事件展开了调查，该事件导致多个文件服务器遭受了大规模加密和数据泄露。调查结果显示，攻击者成功获取了域管理员权限，并采用多重手段进行权限维持，包括在多台主机上部署C2工具，从而窃取了大量敏感数据，最终实施了数据加密。攻击的起始点是利用Log4Shell漏洞侵入目标网络，并获取初始访问权限。在内网环境中，攻击者使用Mimikatz进行凭据收集、通过PSEXEC进行横向移动，并创建账户以维持权限。最终，攻击者通过建立C2隧道实施数据窃取，并部署LockBit勒索软件进行勒索攻击。

针对此案例，多个阶段中用到的攻击技术能够被监测与发现：

在2022年第二季度，LockBit组织发动了一起对某零售公司资产的攻击，对其资产进行了窃取和加密。攻击的起始点是通过利用服务器应用程序漏洞获得目标公司网络的初始访问权限。在内网中，攻击者通过转储lsass内存进行信息收集，获取了高权限凭据，并借助ntdsutil工具导出ntds文件，获取了全域的凭据。同时，通过不断利用PsExec和RDP进行横向移动，导出凭据，积累了足够多的权限。

为了维持权限，攻击者采用创建域用户、建立Ngrok隧道的手段，并利用Ngrok隧道进行数据窃取，使用Rclone、MegaSync和Filezilla等工具完成这一过程。在成功窃取数据后，攻击者关闭了AV、EDR等防护软件，部署了Lockbit勒索软件，并删除了vssadmin.exe和bcdedit.exe文件。最终，为了清除入侵痕迹，攻击者删除了相关的日志数据。

针对此案例，多个阶段中用到的攻击技术能够被监测与发现：

在2021年第四季度，LockBit组织对一家工业公司实施了攻击，导致该公司的数据被勒索加密。攻击者通过钓鱼或漏洞利用方式进入目标公司内网，接着运用Mimikatz等工具进行凭据收集。随后，攻击者使用psexec和rdp等技术进行横向移动，通过SpoolFool工具实施权限提升攻击，并添加域用户进行权限维持。最终，部署LockBit，对公司数据实施了加密，给企业的数据安全带来了重大威胁。

针对此案例，多个阶段中用到的攻击技术能够被监测与发现：

在近三年内，LockBit系列的攻击事件对受害组织造成了严重的损失，其危害不可小觑。然而，通过对众多案例的分析发现，这些攻击过程并非无法察觉，它们无一例外都是对集权设施发起攻击，包括最近工行（ICBCFS）的勒索事件。只要对LockBit攻击过程中的关键环节进行监测与阻断，就能够起到很好的防护效果。

勒索攻击具有一系列的攻击行为，随着勒索软件的分发部署，最终给企业安全带来重大威胁。因此，针对勒索攻击进行防御，重点应该针对集权设施来进行，需要以事前、事中阶段为主，以事后阶段为辅，进行全链路的攻击防护。

网星安全ITDR平台提供事前、事中、事后的全链路防护，及时发现、阻断勒索攻击。

事前阶段，通过基线检查主动收敛攻击面。主动发现不活跃账户、异常账户、MFA禁用、未打补丁的漏洞等问题，并及时进行加固。

事中阶段，针对异常行为进行实时监测及告警，并在攻击者攻击的过程中，对攻击行为进行实时阻断。实时监测不活跃用户登录、lsass内存转储、Mimikatz、PSEXEC工具等，及时切断攻击者的攻击路径，使得攻击无法继续。

事后阶段，结合告警，以及平台上的相关证据，对攻击事件进行调查取证。

网星安全根据不同客户需求，提供7*24小时或5*8小时的ITDR产品安全运营服务，配备专业安全团队，对攻击链进行全过程溯源并协助处置，提供专业修复加固建议避免同类威胁事件再次发生，为您提供一站式ITDR安全防护解决方案，预防勒索攻击对企业带来的威胁。