LockBit RaaSとそのアフィリエイトは、世界中の大きな組織や小さな組織に悪影響を及ぼしています。2022年には、LockBitは最も活動的なグローバルランサムウェアグループおよびRaaSプロバイダーでした。LockBitは、その管理パネルとRaaSのサポート機能の革新と継続的な開発を通じて成功を収めています。LockBitのリークサイトでは、攻撃者が被害者の名前やキャプチャされたデータを公開しています。この公開されたデータは、被害者の企業や組織に対する追加の圧力手段として使用されることが多いです。
LockBitのアフィリエイトは、合法的な使用を目的としたさまざまなフリーウェアやオープンソースのツールを使用しています。これらのツールは、システムの発見、偵察、パスワード/資格情報のハンティング、特権のエスカレーションなどのさまざまな悪意のあるサイバー活動のために再利用されています。PowerShellやバッチスクリプトの使用は、ほとんどの侵入で観察されており、システムの発見、偵察、パスワード/資格情報のハンティング、特権エスカレーションに焦点を当てています。MetasploitやCobalt Strikeなどのプロのペネトレーションテストツールの痕跡も観察されています。
具体的に、LockBitアフィリエイトが再利用するために使用する一部のフリーウェアやオープンソースツールのリストが文書に記載されています。これらのツールはすべて公に利用可能で合法的です。しかし、これらのツールが脅威のアクターによって使用される場合、それはそのツール自体が悪意を持っているわけではありません。むしろ、これらのツールはその機能や機能性のために悪用されることが多いです。
LockBitアフィリエイトが使用するフリーウェアおよびオープンソースツールには、以下のようなものがあります。
- FreeFileSync:
クラウドベースのファイル同期を容易にし、データのエクスフィルトレーション（不正なデータ外部への転送）のために使用されます。
- GMER:
ルートキットを削除するためのツール。EDR（Endpoint Detection and Response）ソフトウェアを終了し、削除するためにも使用されます。
- Impacket:
ネットワークプロトコルを操作するためのPythonクラスのコレクション。被害者のネットワークへのアクセスやエクスプロイトのための資格情報を収集するために使用されます。
- LaZagne:
複数のプラットフォームでのシステムパスワードの回復を目的としたツール。
- Ligolo:
ペネトレーションテストのための逆接続からSOCKS5またはTCPトンネルを確立します。被害者のネットワーク内のシステムへの接続を逆トンネリングを介して可能にします。
- LostMyPassword:
Windowsシステムからのパスワードの回復を目的としたツール。
- MEGA Ltd MegaSync:
クラウドベースのファイル同期を容易にし、データのエクスフィルトレーションのために使用されます。