APA ITU LOCKBIT BLACK

LockBit Black adalah varian ransomware dari kelompok ransomware terkenal bernama LockBit.
Varian ini mulai banyak terlihat sekitar tahun 2022 dan dianggap sebagai evolusi dari keluarga ransomware sebelumnya seperti LockBit 2.0.

LockBit Black sering juga disebut mirip dengan ransomware BlackMatter, karena source code dan teknik enkripsinya memiliki banyak kemiripan.

Cara Kerja LockBit Black

Secara umum alurnya seperti ini :

1. Penyerang masuk ke jaringan korban
   • VPN bocor
   • Password lemah
   • RDP terbuka
   • Phishing email
   • Exploit vulnerability
     
     
2. Melakukan privilege escalation
   • Mengambil hak administrator/domain admin
   • Menonaktifkan antivirus dan backup
     
     
3. Lateral movement
   • Menyebar ke server lain
   • Menggunakan PsExec, SMB, Remote Service, dll
     
     
4. Exfiltration data
   • Data penting dicuri terlebih dahulu
     
     
5. Encryption
   • File dienkripsi massal
   • Extension file berubah
   • Muncul ransom note
     
     
6. Double Extortion
   • Korban diminta membayar decryptor
   • Jika tidak bayar, data dipublikasikan di leak site
     
     

Ciri-ciri LockBit Black

Beberapa indikator yang sering ditemukan :

• File terenkripsi dengan extension acak
• Muncul ransom note seperti :
  • Restore-My-Files.txt
• Wallpaper desktop berubah
• Banyak service dimatikan :
  • SQL
  • Veeam
  • Exchange
  • Backup service

• Menghapus shadow copy Windows:

  vssadmin delete shadows /all /quiet
  

Teknologi Enkripsi

LockBit Black menggunakan kombinasi algoritma modern :

• AES
• Salsa20
• RSA / ECC untuk key protection
• 
  

Prosesnya dibuat sangat cepat agar :

• Ribuan file bisa terenkripsi dalam waktu singkat
• Sulit dihentikan saat sedang berjalan

Target Umum

Kelompok LockBit biasanya menarget :

• Perusahaan besar
• Manufacturing
• Rumah sakit
• Finance
• Pemerintahan
• Infrastruktur kritikal
  
  

Mereka menggunakan model :

Ransomware-as-a-Service (RaaS)

Artinya :

• Developer menyediakan malware
• Affiliate melakukan serangan
• Hasil tebusan dibagi

Tanda Sistem Terkena LockBit Black

Beberapa IOC umum :

• Banyak file rename mendadak
• CPU/disk usage tinggi
• Event log menunjukkan :
  • PsExec
  • Remote service creation
  • RDP login abnormal
• Antivirus mati sendiri
• Backup gagal
• File share network tidak bisa dibuka

Langkah Darurat Jika Terkena

Jika menduga terkena LockBit Black :

1. Isolasi device/network segera
2. Matikan akses internet
3. Disable shared folder
4. Jangan reboot sembarangan
5. Simpan sample :
   • ransom note
   • encrypted file
   • process dump
6. Cek apakah ada data exfiltration
7. Hubungi incident response team

Pencegahan

Rekomendasi utama :

• MFA untuk VPN/RDP
• Tutup RDP publik
• Patch rutin
• Segmentasi network
• Immutable backup
• EDR/XDR aktif
• Monitoring SIEM
• Least privilege
• Disable akun tidak terpakai