LockBit се враќа — и веќе има нови жртви

Клучни поенти

• LockBit се враќа. По неутрализацијата во почетокот на 2024 година, групата за рансомвер повторно се појави и веќе уценува нови жртви.
• Нова верзија, нови напади. Check Point Research идентификуваше околу дванаесет организации нападнати во септември 2025 година, од кои половина се погодени од новиот LockBit 5.0 („ChuongDong“) вариант.
• Проширени цели. Групата изведува напади врз Windows, Linux и ESXi системи во Европа, Америка и Азија.
• Заштита. Решенијата Check Point Harmony Endpoint и Quantum ги штитат клиентите од LockBit и други рансомвер групи преку Threat Emulation технологија, која ги блокира нападите пред да се изврши енкрипцијата.

Само неколку месеци по неутрализацијата за време на Операција Cronos, озлогласената група LockBit повторно се активира — и не губи време. Истражувачите од Check Point Research потврдија дека LockBit е повторно оперативен и веќе уценува нови жртви.

Во текот на септември 2025, истражувачите открија дванесет организации таргетирани од обновената операција, при што половина биле заразени со новата варијанта LockBit 5.0, а другите со LockBit Black. Нападите се проширени низ Западна Европа, Америка и Азија, опфаќајќи и Windows и Linux системи — јасен доказ дека инфраструктурата и мрежата на соработници на LockBit повторно функционираат.

Брзо и самоуверено враќање

На почетокот на септември, LockBit официјално го објави своето враќање на подземните форуми, претставувајќи ја верзијата LockBit 5.0 и повикувајќи нови соработници да се приклучат. Оваа најнова верзија, внатрешно кодирана како „ChuongDong“, претставува значителна еволуција на семејството на LockBit енкриптори.

Новите напади со LockBit 5.0 опфаќаат широк спектар на цели — околу 80% на Windows системи, а околу 20% на ESXi и Linux околини. Брзото појавување на повеќе активни жртви покажува дека LockBit-овиот модел Ransomware-as-a-Service (RaaS) успешно ја реактивирал својата мрежа на партнери.

Од неутрализација до реорганизација

До неговото рушење во почетокот на 2024 година, LockBit беше најдоминантната RaaS операција во светот, одговорна за 20–30% од сите објавени жртви на сајтови за истекување податоци.

По Операцијата Cronos, беа извршени апсења и заплени на податоци, со што инфраструктурата на групата беше нарушена. Во тој период, конкуренти како RansomHub и Qilin се обидоа да ги преземат нејзините соработници.

Сепак, администраторот LockBitSupp избегна апсење и продолжи да најавува враќање на темни веб-форуми. Во мај 2025, тој предизвикувачки објави на форумот RAMP:

„Секогаш се креваат после хакирање.“

До август, LockBitSupp повторно се појави, тврдејќи дека групата „се враќа на работа“ — изјава која наскоро се покажа како вистинита.

Поделеното подземје

Додека LockBit повторно добиваше замав на форумот RAMP, други поголеми форуми како XSS продолжија да забрануваат рекламирање на RaaS (Ransomware-as-a-Service) услуги.
Во почетокот на септември, LockBitSupp се обиде да биде повторно вратен на XSS, дури побара и заедницата да гласа за тоа — но обидот на крајот не успеа.

Овој случај ја истакнува клучната тензија во денешната подземна сцена: додека се појавуваат многу помали рансомвер операции, платформите стануваат сè повнимателни поради видливоста и вниманието од страна на законските органи што големи групи како LockBit ги привлекуваат. Сепак, повторното враќање на LockBit може да сигнализира рецентрализација на RaaS екосистемот под еден искусен актер.

LockBit 5.0: Технички и оперативни подобрувања

LockBit 5.0 воведува неколку ажурирања дизајнирани да ја зголемат ефикасноста, безбедноста и прикриеноста:

• Поддршка за повеќе платформи: Нови верзии за Windows, Linux и ESXi системи.
• Подобрена евазија: Зголемени анти-анализни механизми за да се отежни форензичкото истражување.
• Побрзо шифрирање: Оптимизирани рутини кои го скратуваат времето за реакција на одбранбените системи.
• Нови идентификатори: Случајни 16-значни екстензии на датотеки за избегнување на детекција.

Контролен панел за соработници

• Обезбедува подобрен интерфејс за управување со индивидуализирани креденцијали.
• За да се приклучат, соработниците мораат да депонираат приближно 500 долари во Bitcoin за пристап до контролниот панел и енкрипторите — модел кој има за цел да ја одржи ексклузивноста и да ги проверува учесниците.

Ажурирани пораки за откуп

• Сега се идентификуваат како LockBit 5.0 и вклучуваат персонализирани линкови за преговори, кои им даваат на жртвите рок од 30 дена пред украдените податоци да бидат објавени.

Последици: Враќање на познатата закана

Повторното појавување на LockBit ја истакнува отпорноста и софистицираноста на групата. И покрај високопрофилни акции на законските органи и јавни неуспеси, групата повторно успеа да ги врати своите операции, да регрутира соработници и да продолжи со уценување.

Со својот зрел RaaS модел, меѓуплатформска достапност и докажана репутација меѓу сајбер криминалците, враќањето на LockBit претставува ново загрозување за организации во сите сектори. Бранот на инфекции во септември веројатно ја означува само почетната фаза на поголема кампања, а објавите во октомври можат да ја потврдат целосната оперативна реабилитација на групата.

Заштита од Check Point

Клиентите на Check Point се заштитени од LockBit и поврзани рансомвер закани преку напредни технологии за превенција на закани.

• Check Point Quantum за мрежна безбедност ги блокира почетните обиди за инфекција и комуникацијата со командно-контролни сервери преку Threat Emulation.
• Check Point Harmony Endpoint спречува извршување на рансомвер на крајните уреди, откривајќи и блокирајќи злонамерни датотеки пред да започне шифрирањето.

Заедно, овие решенија обезбедуваат комплетна одбрана од најновите техники на LockBit, осигурувајќи дека организациите остануваат заштитени дури и кога рансомвер операциите еволуираат.

Check Point Research продолжува да ја следи активноста на LockBit и ќе објавува ажурирања за развојот на алатките на групата, жртвите и екосистемот како што се појавуваат нови докази.

Извори:

• Check Point Software Technologies  – „Windows Server emergency patches fix WSUS bug with PoC exploit“ .Checkpoint