Jasa Recovery Ransomware Lockbit 5.0

• LockBit 5.0 adalah nama yang digunakan oleh varian terbaru dari keluarga ransomware LockBit, salah satu operasi ransomware-as-a-service (RaaS) paling terkenal di dunia. 

Berikut penjelasannya :

• Apa itu LockBit ?

LockBit adalah ransomware yang pertama kali muncul sekitar 2019 dan berkembang menjadi salah satu grup ransomware paling aktif di dunia dengan model Ransomware-as-a-Service (RaaS). Dalam model ini :

• Pengembang membuat ransomware.
• Affiliate (mitra) melakukan serangan ke korban.
• Uang tebusan dibagi antara operator dan affiliate.

LockBit terkenal karena :

• Enkripsi yang sangat cepat.
• Otomatis menyebar ke jaringan.
• Mendukung Windows, Linux, dan VMware ESXi.
• Menggunakan teknik double extortion (mencuri data sebelum mengenkripsi).

• Apa yang dimaksud LockBit 5.0?

Istilah LockBit 5.0 mulai muncul setelah operasi penegakan hukum internasional Operation Cronos pada Februari 2024 yang berhasil :

• Menyita server LockBit.
• Mengambil alih situs leak mereka.
• Menangkap beberapa affiliate.
• Mengidentifikasi anggota inti.

Setelah itu administrator LockBit ("LockBitSupp") mengklaim akan merilis versi baru yang disebut LockBit 4.0, kemudian muncul pula klaim mengenai LockBit 5.0.

• Karakteristik yang dikaitkan dengan LockBit 5.0

Beberapa laporan mengaitkannya dengan kemampuan seperti :

• Enkripsi lebih cepat.
• Peningkatan teknik anti-analysis.
• Penghindaran terhadap EDR/XDR.
• Dukungan terhadap Windows dan Linux.
• Peningkatan metode lateral movement.
• Modifikasi algoritma enkripsi.
• Perubahan format ransom note.
• Dukungan terhadap sistem virtualisasi (VMware ESXi/Hyper-V).

Namun, karena keasliannya belum dipastikan, fitur-fitur ini tidak dapat dianggap sebagai karakteristik resmi.

• Metode serangan

Seperti keluarga LockBit sebelumnya, operator biasanya memperoleh akses awal melalui :

• Kredensial VPN/RDP yang bocor.
• Kerentanan pada firewall (Fortinet, SonicWall, Citrix, dll.).
• Email phishing.
• Akun dengan MFA yang lemah atau tidak diterapkan.
• Broker akses awal (Initial Access Brokers).

Setelah masuk ke jaringan, mereka biasanya :

1. Melakukan reconnaissance.
2. Mencuri kredensial.
3. Bergerak lateral.
4. Menonaktifkan solusi keamanan bila memungkinkan.
5. Mengekstraksi data.
6. Mengenkripsi server dan endpoint.
7. Mengirim ransom note.

• Algoritma enkripsi

Varian LockBit umumnya menggunakan kombinasi :

• AES atau ChaCha20 untuk mengenkripsi file.
• RSA-2048/RSA-4096 atau ECC untuk melindungi kunci enkripsi.

Pendekatan hybrid ini umum digunakan oleh ransomware modern karena menggabungkan kecepatan enkripsi simetris dengan keamanan distribusi kunci menggunakan kriptografi asimetris.

• Status saat ini

Meskipun Operation Cronos memberikan dampak besar terhadap infrastruktur LockBit, berbagai aktivitas yang mengatasnamakan LockBit masih terus muncul. Peneliti keamanan menilai bahwa :

• Sebagian mungkin berasal dari operator atau affiliate lama yang masih aktif.
• Sebagian lain bisa merupakan kelompok berbeda yang menggunakan nama LockBit untuk memperoleh reputasi atau menakut-nakuti korban.

Karena itu, setiap klaim mengenai LockBit 5.0 perlu diverifikasi berdasarkan analisis teknis sampel malware dan atribusi dari peneliti keamanan.

• Cara mitigasi

Organisasi dapat mengurangi risiko dengan :

• Menerapkan patch keamanan secara rutin, terutama pada perangkat yang menghadap internet.
• Mengaktifkan MFA untuk VPN, RDP, dan akun administratif.
• Membatasi hak akses berdasarkan prinsip least privilege.
• Melakukan segmentasi jaringan.
• Menyimpan backup offline atau immutable dan menguji proses pemulihannya.
• Menggunakan EDR/XDR dan memantau aktivitas mencurigakan.
• Mengaktifkan logging serta pemantauan untuk mendeteksi pergerakan lateral dan eksfiltrasi data lebih dini.