勒索软件仍然是对组织和家庭用户最具破坏性的网络威胁之一。一次成功的入侵就可能锁定关键业务数据、停止运营，并引发代价高昂的事件响应和恢复工作。在疫情爆发前构建分层防御和响应准备，是控制事件和化解危机的关键。
威胁摘要
一旦 LockBeast 勒索软件启动，它会加密用户数据，修改文件名以嵌入受害者标识符，并留下一封名为“README.TXT”的勒索信。攻击者将加密与数据盗窃结合起来，迫使受害者付款，并威胁称如果受害者在规定时间内无法联系上，就会泄露敏感信息。
加密和文件重命名工作流程
在加密过程中，LockBeast 会将受害者特定的 ID 和“.lockbeast”扩展名附加到目标文件。例如，“1.png”会变成“1.png.{ED08A034-A9A0-4195-3CC2-81B2521AD6B5}.lockbeast”，而“2.pdf”会变成“2.pdf.{ED08A034-A9A0-4195-3CC2-81B2521AD6B5}.lockbeast”。这种模式允许攻击者追踪单个受害者，并在提供任何解密功能之前确认付款。该加密程序旨在覆盖各种数据类型，包括文档、数据库、档案、媒体和源代码存储库。
勒索信和双重勒索手段
“README.TXT”文件声称所有重要文件均不可用，并声称敏感记录（例如交易历史记录、客户 PII、支付卡详细信息和账户余额）已被泄露至攻击者的基础设施。该文件提供了通过注重隐私的即时通讯应用（Session 和 Tox）提供的联系方式，警告用户不要重命名文件或使用第三方解密程序，并设定了所谓的数据公开前的七天期限。此举将经典的文件加密勒索与公开泄密威胁相结合，以加大施压力度。支付赎金仍然有风险：即使支付赎金，也无法保证解密成功、数据完全恢复或被盗信息被删除。
初始访问和分发向量
观察到的和可能的传播方式与常见的勒索软件操作一致。威胁行为者通过恶意电子邮件附件或链接、木马或盗版软件和注册机、社会工程学“支持”诈骗以及利用未修补的漏洞来传播感染。其他途径包括路过式重定向或恶意广告重定向、第三方下载程序、受感染或相似的网站、受感染的可移动媒体以及点对点文件共享。当用户打开带有陷阱的可执行文件、存档、Office 文档、PDF 文档或脚本时，通常会开始执行。
遏制和根除指导
如果怀疑 LockBeast 感染了系统，请立即采取行动。将受影响的机器与网络（有线和无线）隔离，以防止进一步加密和横向传播。禁用共享驱动器并撤销可疑的访问令牌或会话。保留易失性文件和日志以供取证，然后使用值得信赖且已全面更新的安全解决方案或已知良好的事件响应环境删除恶意软件。仅在确认威胁已消除后，才从干净的离线备份进行恢复；否则，再次感染可能会重新加密已恢复的数据。
复苏和商业影响
除非存在备份，否则通常无法在没有攻击者工具的情况下解密。优先从不可变或离线快照中恢复最关键的服务。在证明数据泄露并非事实之前，应将任何数据泄露声明视为可信：评估可能已泄露的数据，根据法律或合同要求准备通知，并监控滥用行为（例如，针对客户的欺诈行为）。
关于付款的决策点
虽然每起事件都有其独特的运营和法律考量，但支付赎金实际上会资助犯罪活动，并不能保证数据完全恢复或不被泄露。请优先考虑其他替代方案：从备份恢复、部分数据重建以及客户保护措施。
底线
LockBeast 将强力加密与数据泄露威胁相结合，胁迫受害者。快速隔离、规范清除以及可靠的离线备份对于恢复至关重要。从长远来看，那些投资于补丁、最小权限、强大的电子邮件和 Web 控制以及切实的事件准备的组织，能够显著降低勒索软件事件发生的可能性和影响。
留言
找到以下与LockBeast勒索软件相关的消息：
YOUR FILES ARE ENCRYPTED AND CONDIDENTIAL DATA HAS BEEN STOLEN
All your documents, databases, source codes and other important files are now inaccessible.
They are protected by military standard encryption algorigthms that cannot be broken without a special key.
In addition, some of your data has been copied and is on our servers.
- and much more...
The stolen data contains information about transactions made in your applications, personal data of your customers, including full names, contact details, document numbers, their card numbers in your casino and their balance.
If you refuse to deal with us, we will publicly post your confidential information on our blog.
Our group is not politically motivated, we just love money like all people.
Instead of paying huge fines, getting sued by employees and customers, you can simply write to us and negotiate a deal.
How our negotiations with you will proceed:
1. You contact us at the contacts listed below and send us your personal decryption id.
2. We will show you what data we stole from you and decrypt 1 test file of your choice so you know that all your files are recoverable.
3. We will negotiate a ransom price with you and you pay it.
4. We give you a decryptor for your data, as well as logs of secure deletion all your data.
5. We give you a technical report on how your network was infiltrated.
YOUR PERSONAL ID: -
OUR CONTACTS:
1. SESSION
Download Session Messenger (hxxps://getsession.org/)
Our Session ID:
0528d01425626aa9727970af4010c22f5ec5c3c1e7cd21cbecc762b88deb83d03c
2. TOX MESSENGER
Download Tox (hxxps://tox.chat/)
Our Tox ID:
D29B1DD9540EFCC4A04F893B438956A0354A66A31277B65125E7C4BF2E092607338C93FDE53D
Attention!
* Do not rename encrypted files.
* Do not try to decrypt your data using third party software, it may cause permanent data loss.
* Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
* If you do not contact us within 7 days, we will post your sensitive data on our blog and report the leak to your partners, customers, employees, as well as to regulators and the media.
|
