Sicherheitsforscher warnen vor gefährlicherer Version
Lockbit 5.0: Neue Ransomware greift Windows und Linux an
Die Ransomware-Gruppe Lockbit soll mit Version 5.0 eine plattformübergreifende Angriffswelle gestartet haben. Neue Techniken zur Verschleierung und Verschlüsselung erschweren laut Sicherheitsexperten die Abwehr und Wiederherstellung.
Laut dem Sicherheitsunternehmen Trend Micro ist mit Lockbit 5.0 eine weiterentwickelte Variante der bekannten Erpressersoftware im Umlauf. Diese soll nicht nur gezielter gegen Windows-Systeme vorgehen, sondern auch Angriffe auf Linux-Server und VMware-ESXi-Umgebungen ermöglichen.Verbesserte Tarnung...
Laut dem Sicherheitsunternehmen Trend Micro ist mit Lockbit 5.0 eine weiterentwickelte Variante der bekannten Erpressersoftware im Umlauf. Diese soll nicht nur gezielter gegen Windows-Systeme vorgehen, sondern auch Angriffe auf Linux-Server und VMware-ESXi-Umgebungen ermöglichen.
Verbesserte Tarnung und flexible Steuerung
Die Analyse aktueller Lockbit-Angriffe habe gezeigt, dass die Software neue Methoden zur Verschleierung einsetzt. Unter anderem soll Schadcode in Windows-Systemen per sogenannter DLL-Reflection geladen werden, was die Entdeckung durch Schutzsoftware erschwert. Zudem komme eine besonders aggressive Packtechnik zum Einsatz.
Die Linux-Variante lässt sich laut Trend Micro per Befehlszeile steuern. Angreifer können damit gezielt festlegen, welche Verzeichnisse oder Dateitypen verschlüsselt werden sollen. In der ESXi-Version sei auffällig, dass virtuelle Maschinen direkt ins Visier genommen würden – ein Ansatz, der es ermöglicht, ganze Virtualisierungsinfrastrukturen zu stören.
Erschwerte Wiederherstellung durch neue Methoden
Lockbit 5.0 soll verschlüsselte Dateien mit einer zufällig generierten, 16-stelligen Dateiendung versehen. Dadurch werde die Wiederherstellung selbst mit vorhandenen Entschlüsselungstools deutlich erschwert, warnen die Experten.
Plattformübergreifende Strategie setzt neue Maßstäbe
Die gleichzeitige Verfügbarkeit von Varianten für Windows, Linux und ESXi deutet auf eine bewusst plattformübergreifende Strategie hin, so Trend Micro. Ziel sei es offenbar, ganze Unternehmensnetzwerke auf verschiedenen Ebenen – vom Endgerät bis zum Hypervisor – lahmzulegen.
Rückkehr trotz internationaler Strafverfolgung
Trotz eines internationalen Zugriffs auf Infrastruktur der Lockbit-Gruppe Anfang 2024 – bekannt als "Operation Cronos" – seien die Kriminellen wieder aktiv. Laut Trend Micro ist damit die Widerstandsfähigkeit der Gruppe belegt. Den Behörden war es zwar gelungen, Server sowie Entschlüsselungsschlüssel zu beschlagnahmen, dennoch setze Lockbit seine Aktivitäten fort.
Experten raten zu umfassendem Schutz
Sicherheitsforscher empfehlen, plattformübergreifende Schutzmaßnahmen zu ergreifen – insbesondere im Bereich der Virtualisierungsinfrastruktur. Der aktuelle Fall zeigt, dass keine Plattform vor modernen Ransomware-Kampagnen grundsätzlich sicher sei.
