„Zájem ransomwaru LockBit o konkrétní podnikové aplikace a klíčová slova naznačuje, že útočníci jednoznačně hledají systémy, které jsou pro menší společnosti cenné, tedy systémy, které ukládají finanční informace a zajišťují každodenní práci, s cílem tlačit na oběti, aby zaplatily, resp. zaplatily rychleji,“ říká Sean Gallagher, senior threat researcher společnosti Sophos. „Už jsme viděli, jak ransomware po svém spuštění zastavuje podnikové aplikace, ale toto je poprvé, kdy vidíme, že útočníci automatizovaným způsobem pátrají po konkrétních typech aplikací, aby si vyhodnotili potenciální cíle.“

Útočníci také během napadení rozsáhlým způsobem využívají PowerShell a upravují kód tak, aby vyhovoval jejich potřebám.

Útočníci za ransomwarem LockBit se snaží skrýt svoje aktivity, aby vypadaly jako běžné automatizované administrativní úkony. Zneužívají k tomu nativní nástroje – vytvořením maskovaných kopií skriptovacích komponent Windows a jejich spuštěním pomocí Plánovače úloh ve Windows. Upraví také integrovanou ochranu proti malwaru, aby nemohla fungovat.

„Jediným způsobem, jak se proti těmto typům ransomwarových útoků bránit, je hloubková obrana s důslednou implementací ochrany před malwarem napříč všemi prostředky. Pokud jsou služby ponechány odhalené nebo nesprávně nakonfigurované, útočníci je mohou snadno využít,“ uvádí Gallagher.

Další informace o ransomwaru LockBit a ostatních jsou k dispozici na webu SophosLabs Uncut, kde experti společnosti Sophos pravidelně publikují svoje aktuální studie a důležitá zjištění.