Phorpiex-Phishing-Kampagne verbreitet LockBit 3.0-Ransomware

Cyberkriminelle verbreiten LockBit-Ransomware über die Phishing-Plattform Phorpiex

Cyberkriminelle nutzen eine alte Phishing-Plattform, Phorpiex, um die Ransomware LockBit, auch bekannt als LockBit Black oder LockBit 3.0, zu verbreiten. Diese laufende Kampagne, die seit Ende April 2024 beobachtet wird, ist nicht zielgerichtet und beinhaltet die Massenverteilung von Phishing-E-Mails von einer einzigen Adresse. Die E-Mails fordern die Empfänger auf, in den angehängten Archiven enthaltene Dokumente anzusehen. Bei der Aktivierung wird die .EXE-Datei in der Anlage die LockBit 3.0-Ransomware auf dem Gerät installieren, ohne jedoch zu versuchen, sich über Netzwerke auszubreiten. LockBit 3.0 wurde angeblich 2022 von den mit der Ransomware in Verbindung stehenden Entitäten entwickelt. Trotz einer erheblichen Störung der LockBit-Infrastruktur Anfang dieses Jahres nahm der Ransomware-Betrieb schnell wieder an Fahrt auf.

Wichtige Erkenntnisse

• Die LockBit-Ransomware-Kampagne nutzt die weit verbreitete Phishing-Plattform Phorpiex.
• Diese Kampagne ist nicht selektiv, sondern zielt darauf ab, möglichst viele Endpunkte zu infizieren.
• Phishing-E-Mails werden von einer einzigen Adresse, Jenny@gsd[.]com, mit einer generischen Nachricht und Anlage gesendet.
• Die Anlage ist ein .ZIP-Archiv, das eine .EXE-Datei enthält, die die Freisetzung von LockBit 3.0 auslöst.
• LockBit 3.0 (LockBit Black) wurde angeblich im Frühsommer 2022 von Affiliates entwickelt.
• Obwohl die Strafverfolgungsbehörden Anfang 2024 die LockBit-Infrastruktur gestört haben, nahm die Ransomware-Aktivität kurz darauf wieder zu.

Analyse

Das Wiederaufleben der LockBit-Ransomware, die nun in ihrer dritten Iteration als LockBit 3.0 oder LockBit Black über die Phorpiex-Phishing-Plattform auftritt, unterstreicht die anhaltende Herausforderung bei der Bekämpfung der Cyberkriminalität. Diese unterschiedslose Kampagne, die eine breit angelegte E-Mail-Verteilung nutzt, zielt darauf ab, so viele Endpunkte wie möglich zu infizieren, was zu einer lokalen Gerätesperre führt. Bemerkenswert ist, dass der Ransomware-Betrieb trotz der Störung der LockBit-Infrastruktur durch die Strafverfolgungsbehörden im Jahr 2024 schnell wieder aufgenommen wurde. Die Auswirkungen umfassen mögliche finanzielle Verluste für individuelle Opfer und eine erhöhte Wachsamkeit gegenüber E-Mail-Anhängen für Organisationen und die Öffentlichkeit. Langfristig unterstreicht dieser Vorfall die Notwendigkeit von verbesserten Cybersicherheitsmaßnahmen, kontinuierlicher Aufklärung über Phishing-Bedrohungen und einer stärkeren Zusammenarbeit zwischen Strafverfolgungsbehörden und der Cybersicherheitsbranche, um solche Angriffe zu verhindern.