El ransomware LockBit es una de las ciberamenazas más notorias de la actualidad, habiendo evolucionado hasta convertirse en uno de los grupos más sofisticados y peligrosos del panorama mundial. Con un modelo de ransomware como servicio (RaaS), LockBit permite a sus afiliados llevar a cabo ataques con eficacia, dirigidos principalmente a grandes empresas e instituciones.
LockBit es una variante de ransomware detectada por primera vez en septiembre de 2019, que rápidamente ganó notoriedad por su capacidad para cifrar datos de manera eficiente y exigir rescates exorbitantes. Su tercera versión, LockBit 3.0, introdujo mejoras en la infraestructura del ransomware, haciendo que los ataques fueran más rápidos, más difíciles de detectar y aún más devastadores para las víctimas.
A diferencia de otros grupos de ransomware, LockBit se centra en las grandes empresas, aprovechando las vulnerabilidades de los sistemas de seguridad e implementando un cifrado de datos casi irreversible si no se paga el rescate.
¿Cómo funciona el Grupo LockBit?
El grupo LockBit opera sobre la base del modelo Ransomware-as-a-Service (RaaS), en el que los desarrolladores suministran software malicioso a los afiliados, que se encargan de llevar a cabo los ataques. Estos afiliados reciben un porcentaje significativo del rescate, mientras que el resto se entrega a los desarrolladores del ransomware.
Algunas de las principales estrategias utilizadas por los operadores son:
- Explotación de vulnerabilidades: Los atacantes utilizan vulnerabilidades conocidas y mal configuradas de los sistemas informáticos, como servidores sin parches o cortafuegos mal gestionados.
- Phishing selectivo: El grupo utiliza tácticas de ingeniería social y spear-phishing para engañar a los empleados para que descarguen malware o faciliten credenciales de acceso.
- Exfiltración de datos: Antes de cifrar los archivos, el grupo LockBit exfiltra grandes volúmenes de datos, lo que les da un poder de negociación adicional, ya que pueden amenazar con filtrar información confidencial.
Una característica distintiva de LockBit 3.0 es su programa de recompensas por fallos -una práctica poco habitual en los grupos de ransomware-, por el que ofrecen recompensas a quien encuentre fallos en su propio software, lo que aumenta la solidez de sus operaciones.
Datos recientes sobre el impacto mundial
Según el Informe sobre ransomware 2024 de Cybersecurity Ventures, se espera que el ransomware en su conjunto cause daños globales por un total aproximado de 265.000 millones de dólares en 2031, siendo LockBit responsable de una parte significativa de los ataques recientes. En 2023, LockBit estuvo implicado en más del 40% de todos los incidentes de ransomware registrados en el mundo.
La unidad de ciberinteligencia de Chainalysis informó de que en 2022 LockBit acumuló alrededor de 91 millones de dólares en pagos de rescates, siendo el pago medio de rescates de 1,5 millones de dólares por víctima. Además, un estudio de Sophos mostró que, en promedio, los ataques de LockBit resultan en 21 días de inactividad para las empresas afectadas, causando enormes pérdidas operativas.
Evolución del ransomware LockBit
El ransomware LockBit es ampliamente conocido en el mundo de la ciberseguridad por su rápida evolución y las distintas versiones que han introducido mejoras y tácticas más sofisticadas. Desde su primera aparición en 2019, LockBit ha sufrido una serie de actualizaciones significativas, y cada nueva versión ha hecho que el ransomware sea más potente, eficiente y difícil de combatir.
LockBit 1.0: El comienzo (2019)
La versión original de LockBit, lanzada en septiembre de 2019, fue una de las primeras en utilizar la técnica de «autopropagación», en la que el ransomware se mueve lateralmente dentro de la red, infectando rápidamente otros dispositivos y servidores conectados. Algunas características notables de LockBit 1.0 incluyen:
- Autopropagación a través de SMB: el ransomware aprovecha las vulnerabilidades del protocolo Server Message Block (SMB) para desplazarse lateralmente por una red.
- Cifrado rápido: desde su primera versión, LockBit ha destacado por su capacidad para cifrar datos rápidamente, minimizando la ventana de respuesta de los equipos de seguridad.
- Enfoque en grandes empresas: La primera versión de LockBit estaba dirigida a grandes organizaciones, aprovechando las vulnerabilidades de las redes corporativas.
Esta primera versión ya indicaba la seriedad del grupo, con ataques exitosos a grandes empresas, pero no ofrecía funciones más avanzadas como las introducidas en versiones posteriores.
LockBit 2.0: perfeccionamiento y doble amenaza (2021)
En junio de 2021, el grupo lanzó LockBit 2.0, que trajo una serie de mejoras y convirtió el ransomware en una de las amenazas más dominantes en el escenario mundial. Entre las mejoras significativas de esta versión se encuentran:
- Modelo de ransomware como servicio (RaaS): LockBit 2.0 formalizó su modelo RaaS, permitiendo a los operadores afiliados utilizar el ransomware a cambio de un porcentaje de los rescates. Esto amplió la base de operadores y aumentó la frecuencia de los ataques.
- Doble extorsión: introdujo la técnica de la doble extorsión, en la que los atacantes no sólo cifran datos, sino que también exfiltran información confidencial. La amenaza de revelar estos datos crea una presión adicional para que la víctima pague el rescate.
- Velocidad de cifrado optimizada: LockBit 2.0 se ha convertido en uno de los ransomwares más rápidos, capaz de cifrar redes enteras en cuestión de minutos, reduciendo drásticamente el tiempo de respuesta de los equipos informáticos.
- Interfaz de negociación mejorada: la versión 2.0 también ha mejorado el proceso de negociación entre las víctimas y los operadores del ransomware, con sitios de pago dedicados y comunicación directa.
Las mejoras de LockBit 2.0 hicieron que esta versión fuera especialmente eficaz contra las empresas que no estaban preparadas para hacer frente a la exfiltración de datos, ya que la pérdida de información crítica o confidencial podría provocar daños irreparables en la reputación y las operaciones.
LockBit 3.0 (LockBit Negro): El gran avance tecnológico (2022)
Lanzado a principios de 2022, LockBit 3.0, también conocido como LockBit Black, es la última y más avanzada versión de este ransomware. Con mejoras significativas, LockBit 3.0 no solo continuó con las tácticas de doble extorsión y RaaS, sino que también innovó en varias áreas, como la incorporación de programas de recompensas por errores para quienes encuentren fallos en el ransomware. Las principales novedades de LockBit 3.0:
- Programa Bug Bounty: Por primera vez en la historia del ransomware, LockBit 3.0 introdujo un programa Bug Bounty, en el que los hackers ofrecen recompensas a quien encuentre vulnerabilidades en su propio software, mejorando la eficacia y seguridad de la operación.
- Cifrado selectivo: A diferencia de las versiones anteriores, LockBit 3.0 tiene la capacidad de cifrar selectivamente los archivos críticos, lo que acelera el proceso y da prioridad a los datos más valiosos.
- Protección antianálisis: se han introducido técnicas avanzadas de evasión para evitar la detección por parte de las soluciones de seguridad, lo que dificulta el análisis del ransomware por parte de los expertos en ciberseguridad.
- Velocidad mejorada: el cifrado y el movimiento lateral dentro de las redes se han vuelto aún más rápidos y eficaces, con el objetivo de maximizar el impacto antes de que sea posible cualquier respuesta de mitigación.
- Personalización del rescate: LockBit 3.0 permite a los operadores personalizar las peticiones de rescate, haciendo que el proceso de extorsión sea más específico para cada víctima, lo que aumenta la eficacia de las negociaciones.
Además, LockBit 3.0 ha reforzado sus medidas de anonimato, utilizando una sofisticada criptografía para protegerse de ser rastreado por las autoridades de seguridad. Este nuevo nivel de sofisticación ha consolidado a LockBit como uno de los ransomwares más peligrosos en circulación.
Comparación de versiones
| Caratteristiche | LockBit 1.0 | LockBit 2.0 | LockBit 3.0 (Black) |
| Año de publicación | 2019 | 2021 | 2022 |
| Modelo RaaS | No | Si | Si |
| Criptografía | Rápida | Más rápido y eficaz | Selectiva y aún más rápida |
| Doble extorsión | No | Si | Si |
| Programa de recompensas por fallos | No | No | Si |
| Protección antianálisis | básica | Apprezzato | Avanzado |
| Movimiento lateral | A través de SMB | A través de SMB y RDP | Más eficaz e invisible |
| Interfaz comercial | Básico | Apprezzato | Interface ma avançada |
El ransomware LockBit sigue evolucionando a un ritmo alarmante, y cada versión aporta mejoras que hacen que los ataques sean más rápidos, más difíciles de prevenir y más devastadores. Comenzando con LockBit 1.0, el grupo se convirtió rápidamente en una fuerza dominante con LockBit 2.0, adoptando la doble extorsión y un modelo RaaS que atrajo a innumerables afiliados. Con LockBit 3.0 (LockBit Black), redefinieron la sofisticación del ransomware, introduciendo el cifrado selectivo, programas de recompensas por fallos y protecciones mejoradas contra la detección.
Protegerse contra LockBit y sus variantes requiere medidas sólidas de ciberseguridad, como copias de seguridad periódicas, segmentación de la red, detección de intrusiones y creación de planes de respuesta a incidentes. Mantenerse al día de las últimas tácticas del grupo LockBit es crucial para mitigar los daños y minimizar los riesgos. Si se ha visto afectado por un ataque de ransomware Lockbit, puede contar con nuestras soluciones para descifrar archivos ransomware, póngase en contacto con nuestros expertos ahora.
