热点 | 勒索之王LockBit遭11国围剿，新版本4.0卷土重来

今年2月19日，美国、英国、法国等11个国家联手发起了代号为“Cronos”的联合执法行动，旨在打击LockBit勒索软件组织。

这次行动成功识别并移除了超过1.4万个恶意账户，逮捕了两名LockBit附属机构成员，获得1000多个解密器，查获34台包含源代码、被攻击受害者详情、勒索赎金、被盗数据、聊天记录等内部信息的LockBit团伙服务器，并占领其专用数据泄露站点。

在执法部门占领LockBit数据泄露网站后，LockBit运营者很快创建了新的专用数据泄露网站(DSL)，并发布了106个受害组织/企业的数据。

近期，360数字安全集团就捕获到一个LockBit3.0的变种，其勒索提示信息用中文繁体提示受害者向指定的比特币钱包地址汇入0.02BTC以解密文件。

攻击者以结婚为名主动提供解密器的邮件

然而，经分析测试，附件中的解密器和加密程序并非基于同一对私钥和公钥生成的，无法成功解密被勒索加密的文件。这是因为，LockBit3.0泄露的解密器是基于生成勒索所用的公钥匹配的私钥生成的，如果不匹配，就无法用于该勒索的解密！

泄露出的LockBit 3.0解密器

当受害者提出该解密器无法解密文件时，黑客表示想要解密，必须向其支付赎金。

攻击者继续索要赎金

这一情况的出现，主要是因为在LockBit3.0的生成器遭泄露后出现了大量该组织外人员利用生成器创建自己定制的“LockBit3.0”勒索软件。但由于各自为战的黑客们互不隶属，也并不属于同一组织，其所使用的密钥自然也都是相互无关。

而这位声称自己结婚并提供解密程序的黑客很有可能便是这种“编外”人员或组织的一分子，他们所提供的解密器的揭密能力自然也是“非常有限”的。

同时，这种极富戏剧性的邮件内容也是一种策略，可以显著降低受害用户的戒备心理，并增加他们与其沟通联系的可能性。通过建立联系，黑客可以进一步了解受害用户的支付能力和意愿，从而索取高额的赎金。

此外，360数字安全集团也成功捕获了LockBit4.0版本的勒索病毒样本，基本情况如下：

获取到的LockBit4.0样本和之前分析的3.0样本本质上并没有太大的区别，其中一些配置存在些许变化。

LockBit 4.0配置信息变化

配置信息使用了APLib进行压缩,解压缩后包含RSA公钥、掩码等，还包括自定义Base64的编码数据。

在对Lockbit 4.0配置解密后，详细内容如下所示：

 LockBit4.0配置文件字段及对应含义

此外，4.0版本给受害者留下的勒索信较此前的3.0版本也有所变化。其将之前的暗网链接全部去除，并用Proton邮箱（采用了端到端加密技术）进行替代。据推测，这一做法的主要目的是为了让普通用户更容易与攻击者取得联系。

LockBit4.0勒索信内容示例

此次，鉴于LockBit勒索病毒的猖獗，360建议广大政企机构应尽快建立全面的数字安全防御体系，正确安装安全防护软件，以免重要数据泄露而产生不可逆的损失。