Το LockBit 5.0 επιτίθεται σε συστήματα Windows, Linux & ESXI

Μια επικίνδυνη νέα έκδοση του ransomware LockBit έχει αρχίσει να εξαπλώνεται, προκαλώντας ανησυχία σε οργανισμούς και επιχειρήσεις σε όλο τον κόσμο. Το LockBit 5.0, που κυκλοφόρησε τον Σεπτέμβριο του 2025, σηματοδοτεί μια σημαντική αναβάθμιση της οικογένειας ransomware που έχει προκαλέσει χάος τα τελευταία χρόνια, ενσωματώνοντας προηγμένες τεχνικές κρυπτογράφησης και μηχανισμούς αποφυγής ανίχνευσης.

Ευρεία στόχευση και διπλός εκβιασμός

Το LockBit 5.0 στοχεύει πλέον Windows, Linux και ESXi, το οποίο σημαίνει ότι είναι ικανό να πλήξει ποικίλα περιβάλλοντα υποδομών. Λειτουργεί ως ransomware-as-a-service και χρησιμοποιεί μοντέλο διπλού εκβιασμού, κρυπτογραφώντας αρχεία ενώ παράλληλα κλέβει δεδομένα, προκειμένου να ασκήσει πίεση στα θύματα να πληρώσουν λύτρα. Ο κύριος στόχος παραμένει ο επιχειρηματικός τομέας των ΗΠΑ, με τις ιδιωτικές εταιρείες να αντιπροσωπεύουν περίπου το 67% των καταγεγραμμένων θυμάτων. Επιπλέον, πλήττονται κλάδοι όπως η μεταποίηση, η υγειονομική περίθαλψη, η εκπαίδευση, οι χρηματοπιστωτικές υπηρεσίες και οι κυβερνητικές υπηρεσίες.

Δείτε επίσης: Microsoft: Επίθεση ClickFix με Χρήση DNS και Nslookup

Από τον Δεκέμβριο του 2025, το site διαρροών δεδομένων της LockBit έχει καταγράψει 60 καταχωρήσεις θυμάτων, αποδεικνύοντας την εκτεταμένη διάδοση και την επιθετικότητα της νέας έκδοσης. Ιδιαίτερα ανησυχητική είναι η ικανότητά της να στοχεύει Proxmox, μια δημοφιλή πλατφόρμα open-source virtualization που χρησιμοποιείται όλο και περισσότερο από επιχειρήσεις.

Προηγμένες τεχνικές και κρυπτογράφηση υψηλού επιπέδου

Οι αναλυτές της Acronis επισημαίνουν ότι το LockBit 5.0 έχει εξελιγμένες δυνατότητες αποφυγής άμυνας και επιτυγχάνει ταχύτερη κρυπτογράφηση σε σχέση με τον προκάτοχό του. Η έκδοση για Windows ενσωματώνει μηχανισμούς DLL unhooking, process hollowing και Event Tracing για Windows patching, ενώ καθαρίζει όλα τα αρχεία καταγραφής συστήματος για να εξαφανίσει τα ίχνη.

Οι εκδόσεις Linux και ESXi κρυπτογραφούν σχεδόν όλες τις συμβολοσειρές τους για να αποφύγουν την ανίχνευση. Όλες οι πλατφόρμες χρησιμοποιούν κοινό σχήμα κρυπτογράφησης XChaCha20 για συμμετρική και Curve25519 για ασύμμετρη κρυπτογράφηση, ενώ κάθε αρχείο λαμβάνει τυχαία επέκταση 16 χαρακτήρων για δυσκολότερη αναγνώριση. Η δημιουργία πολλαπλών encryption threads με βάση τον αριθμό των επεξεργαστών εξασφαλίζει ταχύτητα και αποτελεσματικότητα.

Δείτε επίσης: Σχόλια στο Pastebin προωθούν επίθεση ClickFix JavaScript

Μηχανισμοί αποφυγής και γεωγραφικοί έλεγχοι

Το LockBit 5.0 εφαρμόζει εξελιγμένες τακτικές αποφυγής, όπως Mixed Boolean-Arithmetic obfuscation και κάνει geolocation checks αποφεύγοντας συστήματα σε μετασοβιετικές χώρες. Πριν την κρυπτογράφηση, ελέγχει τη γλώσσα συστήματος για να αποφύγει ρωσόφωνα περιβάλλοντα. Το ransomware εκτελείται μέσω του νόμιμου βοηθητικού προγράμματος defrag.exe, ενώ μετά την ολοκλήρωση της κρυπτογράφησης απενεργοποιεί το Event Tracing και καθαρίζει τα αρχεία καταγραφής χρησιμοποιώντας τη συνάρτηση EvtClearLog.

Η ανάλυση της υποδομής αποκαλύπτει ότι ο ιστότοπος διαρροής της LockBit φιλοξενείται σε IP που συνδέεται με το SmokeLoader, υποδεικνύοντας πιθανή συνεργασία μεταξύ ομάδων κυβερνοεγκληματιών.

Προτεινόμενες πρακτικές προστασίας

Οι οργανισμοί που επιθυμούν να προστατευθούν από το LockBit 5.0 πρέπει να εφαρμόσουν πολυεπίπεδους ελέγχους ασφαλείας, συμπεριλαμβανομένων τακτικών backup εκτός σύνδεσης, τμηματοποίησης δικτύου, λύσεων ανίχνευσης και απόκρισης τελικών σημείων και τακτικής ενημέρωσης κώδικα. Η εκπαίδευση των εργαζομένων σε θέματα phishing παραμένει κρίσιμη, ενώ οι διαχειριστές πρέπει να παρακολουθούν ύποπτη δραστηριότητα διεργασιών, ασυνήθιστη κρυπτογράφηση αρχείων και προσπάθειες απενεργοποίησης μηχανισμών καταγραφής ασφαλείας.

Δείτε επίσης: Zero Trust: hype ή πραγματική άμυνα;

Η νέα έκδοση LockBit 5.0 αποτελεί σαφή υπενθύμιση ότι οι οργανισμοί πρέπει να ενισχύσουν τα συστήματα ασφαλείας τους και να υιοθετήσουν πρακτικές πρόληψης για να αντιμετωπίσουν τις συνεχώς εξελισσόμενες απειλές του κυβερνοχώρου.