勒索軟體仍然是對組織和家庭用戶最具破壞性的網路威脅之一。一次成功的入侵就可能鎖定關鍵業務資料、停止運營，並引發代價高昂的事件回應和復原工作。在疫情爆發前建構分層防禦和反應準備，是控制事件和化解危機的關鍵。
威脅摘要
一旦 LockBeast 勒索軟體啟動，它會加密用戶數據，修改檔案名稱以嵌入受害者標識符，並留下一封名為「README.TXT」的勒索信。攻擊者將加密與資料竊取結合起來，迫使受害者付款，並威脅如果受害者在規定時間內無法聯繫上，就會洩露敏感資訊。
加密和檔案重命名工作流程
在加密過程中，LockBeast 會將受害者特定的 ID 和「.lockbeast」副檔名附加到目標檔案。例如，「1.png」會變成“1.png.{ED08A034-A9A0-4195-3CC2-81B2521AD6B5}.lockbeast”，而「2.pdf」會變成「2.pdf.{ED08A034-A9A0-4195-3CC1652525250025-16255-1625-16250500025050025500025550002525500025502550202025人。這種模式允許攻擊者追蹤單一受害者，並在提供任何解密功能之前確認付款。此加密程式旨在覆蓋各種資料類型，包括文件、資料庫、檔案、媒體和原始碼儲存庫。
勒索信和雙重勒索手段
「README.TXT」文件聲稱所有重要文件均不可用，並聲稱敏感記錄（例如交易歷史記錄、客戶 PII、支付卡詳細資料和帳戶餘額）已洩露至攻擊者的基礎設施。該文件提供了透過注重隱私的即時通訊應用（Session 和 Tox）提供的聯繫方式，警告用戶不要重命名文件或使用第三方解密程序，並設定了所謂的數據公開前的七天期限。此舉將經典的文件加密勒索與公開洩密威脅相結合，以增加壓力。支付贖金仍然有風險：即使支付贖金，也無法保證解密成功、資料完全恢復或被盜資訊被刪除。
初始存取和分發向量
觀察到的和可能的傳播方式與常見的勒索軟體操作一致。威脅行為者透過惡意電子郵件附件或連結、木馬或盜版軟體和註冊機、社會工程學「支持」詐騙以及利用未修補的漏洞來傳播感染。其他途徑包括路過式重新導向或惡意廣告重新導向、第三方下載程式、受感染或類似的網站、受感染的可移動媒體以及點對點檔案共用。當使用者開啟帶有陷阱的可執行檔、存檔、Office 文件、PDF 文件或腳本時，通常會開始執行。
遏制和根除指導
如果懷疑 LockBeast 感染了系統，請立即採取行動。將受影響的機器與網路（有線和無線）隔離，以防止進一步加密和橫向傳播。停用共用磁碟機並撤銷可疑的存取權杖或會話。保留易失性檔案和日誌以供取證，然後使用值得信賴且已全面更新的安全解決方案或已知良好的事件回應環境刪除惡意軟體。僅在確認威脅已消除後，才從乾淨的離線備份進行復原；否則，再次感染可能會重新加密已復原的資料。
復甦和商業影響
除非有備份，否則通常無法在沒有攻擊者工具的情況下解密。優先從不可變或離線快照中恢復最關鍵的服務。在證明資料外洩並非事實之前，應將任何資料外洩聲明視為可信：評估可能已洩露的數據，根據法律或合約要求準備通知，並監控濫用行為（例如，針對客戶的詐欺行為）。
關於付款的決策點
雖然每起事件都有其獨特的營運和法律考量，但支付贖金實際上會資助犯罪活動，並不能保證資料完全恢復或不洩露。請優先考慮其他替代方案：從備份還原、部分資料重建以及客戶保護措施。
底線
LockBeast 將強力加密與資料外洩威脅結合，脅迫受害者。快速隔離、規範清除以及可靠的離線備份對於復原至關重要。從長遠來看，那些投資於修補程式、最小權限、強大的電子郵件和 Web 控制以及切實的事件準備的組織，能夠顯著降低勒索軟體事件發生的可能性和影響。
訊息
找到以下與LockBeast勒索軟體相關的消息：
YOUR FILES ARE ENCRYPTED AND CONDIDENTIAL DATA HAS BEEN STOLEN
All your documents, databases, source codes and other important files are now inaccessible.
They are protected by military standard encryption algorigthms that cannot be broken without a special key.
In addition, some of your data has been copied and is on our servers.
- and much more...
The stolen data contains information about transactions made in your applications, personal data of your customers, including full names, contact details, document numbers, their card numbers in your casino and their balance.
If you refuse to deal with us, we will publicly post your confidential information on our blog.
Our group is not politically motivated, we just love money like all people.
Instead of paying huge fines, getting sued by employees and customers, you can simply write to us and negotiate a deal.
How our negotiations with you will proceed:
1. You contact us at the contacts listed below and send us your personal decryption id.
2. We will show you what data we stole from you and decrypt 1 test file of your choice so you know that all your files are recoverable.
3. We will negotiate a ransom price with you and you pay it.
4. We give you a decryptor for your data, as well as logs of secure deletion all your data.
5. We give you a technical report on how your network was infiltrated.
YOUR PERSONAL ID: -
OUR CONTACTS:
1. SESSION
Download Session Messenger (hxxps://getsession.org/)
Our Session ID:
0528d01425626aa9727970af4010c22f5ec5c3c1e7cd21cbecc762b88deb83d03c
2. TOX MESSENGER
Download Tox (hxxps://tox.chat/)
Our Tox ID:
D29B1DD9540EFCC4A04F893B438956A0354A66A31277B65125E7C4BF2E092607338C93FDE53D
Attention!
* Do not rename encrypted files.
* Do not try to decrypt your data using third party software, it may cause permanent data loss.
* Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
* If you do not contact us within 7 days, we will post your sensitive data on our blog and report the leak to your partners, customers, employees, as well as to regulators and the media.
|
