LockBit

2019年    LockBit 1.0 首次出现（Python 编写）
          初始版本，功能简单
    ↓
2021年中  LockBit 2.0 发布（Go 语言重写）
          性能大幅提升，加密速度加快
          成熟 RaaS 平台，附属网络扩张
    ↓
2022年底  LockBit 3.0（LockBit Black）发布
          增强加密能力，泄露站点改版
          支持 Docker 容器环境加密
          改进横向移动能力
    ↓
2023年    利用 MOVEit Transfer 漏洞大规模攻击
          全球数千家机构受影响
    ↓
2024年    FBI/Secret Service 联合打击行动
          多名核心成员被捕
          泄露网站持续运营
    ↓
2025-2026 持续活跃，技术持续演进
          重点利用 Log4j、Fortinet、CVE 漏洞

┌─────────────────────────────────────────────────────────────┐
│  2024年 FBI/Secret Service 联合行动                         │
│  ──────────────────────────────────                         │
│  • 逮捕多名 LockBit 核心成员                                │
│  • 查封 C2 基础设施                                         │
│  • 返还部分受害者数据解密密钥                               │
│  • 发布通缉令公开攻击者身份                                 │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  1. 生成 AES-256-GCM 密钥用于文件加密                       │
│  2. 使用 AES-256-GCM 加密文件内容                           │
│  3. 生成 RSA-4096 密钥对（或复用运营者公钥）                │
│  4. 使用 RSA 公钥加密 AES 密钥                              │
│  5. 将加密后的 AES 密钥追加到文件尾部                       │
│  6. 重命名文件（添加 .lockbit 扩展名）                      │
│  7. 删除原始文件                                            │
│  8. 投放勒索信                                              │
│  9. 上传密钥至 C2 服务器                                    │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 A（最常见）: RDP 暴力破解                         │
│  ────────────────────────────                               │
│  1. 扫描公网暴露的 RDP 端口（3389）                         │
│  2. 使用字典暴力破解弱密码                                  │
│  3. 获取 RDP 访问权限                                       │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 B: 漏洞利用                                        │
│  ──────────────────                                         │
│  1. 利用 Apache Log4j（CVE-2021-44228）                    │
│  2. 利用 Fortinet FortiOS（CVE-2022-40043、CVE-2022-42475） │
│  3. 利用 MOVEit Transfer（CVE-2023-34362）                 │
│  4. 利用 Atlassian Confluence（CVE-2023-22515）            │
│  5. 利用 Microsoft Exchange（CVE-2023-23397）              │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  入侵路径 C: 钓鱼邮件                                        │
│  ──────────────────                                         │
│  1. 发送携带恶意附件的钓鱼邮件                              │
│  2. 诱导用户执行恶意文档                                    │
│  3. 部署 LockBit 载荷                                       │
└─────────────────────────────────────────────────────────────┘

内网侦察
├── 系统信息发现
├── 进程发现
├── 注册表发现
├── 网络配置发现
├── 文件与目录发现
└── 服务发现

权限提升
├── 利用系统漏洞获取 SYSTEM/Administrator 权限
├── Mimikatz 凭证窃取
├── 注册表/配置文件凭据提取
└── 令牌操纵

防御规避
├── 检测沙箱/虚拟机环境（AMBUSH）
├── 合法进程注入（svchost.exe、explorer.exe）
├── 无文件攻击（内存驻留）
├── 清除 Windows 事件日志
├── 删除卷影副本（vssadmin delete shadows /all /quiet）
├── 终止安全服务（Windows Defender、备份服务）
└── 多层混淆和加壳保护

数据窃取
├── 识别高价值文件（数据库、备份、共享文件夹）
├── 通过 C2 通道外传数据
├── 使用 TLS 加密通信
└── 外传前加密压缩

加密部署
├── 横向移动：RDP、SMB（PsExec）、WMI
├── 批量扫描共享文件夹
├── 识别目标文件（数据库、备份、文档）
└── 部署加密载荷

加密执行
├── 终止目标进程（数据库、备份、安全软件）
├── 删除卷影副本
├── 加密文件（AES-256-GCM + RSA-4096）
├── 重命名文件（添加 .lockbit 扩展名）
├── 投放勒索信（FILES ENCRYPTED README.txt）
├── 上传 AES 密钥至 C2 服务器
└── 通过 Telegram Bot 联系受害者谈判

制造业          ████████████████████████████████████████ 高优先级
金融服务        ████████████████████████████████           高优先级
医疗健康        ██████████████████████████████             高优先级
教育            ████████████████████████████               高优先级
政府            ██████████████████████████                 高优先级
零售            ██████████████████████                     中优先级
科技            ████████████████████                       中优先级
能源            █████████████████                          中优先级
其他            ████████████████████████████████████████   广泛

高概率受害特征:
├── RDP 端口暴露公网
├── 弱口令或默认凭证
├── 未修补 Log4j、FortiGate、MOVEit 等漏洞
├── 无 MFA 或 MFA 配置不当
├── 无 EDR 或 EDR 配置不当
├── 制造业、金融、医疗、政府等行业
├── 北美、欧洲、亚太地区企业
└── 中小企业至大型企业全覆盖

┌─────────────────────────────────────────────────────────────┐
│  双重勒索（Double Extortion）                               │
│  ─────────────────────                                      │
│  1. 窃取数据后再加密                                        │
│  2. 在泄漏网站公布部分数据作为"证据"                        │
│  3. 通过 Telegram 联系受害者谈判                            │
│  4. 若不支付，公开全部数据                                  │
└─────────────────────────────────────────────────────────────┘

基础设施策略:
├── 短生命周期域名（DGA）
├── 托管在被入侵的合法服务器上
├── 利用云服务平台（AWS、DigitalOcean 等）
├── Telegram Bot 替代传统 C2
└── 定期迁移基础设施

title: LockBit Ransomware - Shadow Copy Deletion
id: lockbit-shadow-copy-deletion
status: experimental
description: 检测 LockBit 勒索软件删除影子副本的行为
author: Threat Intelligence Team
date: 2026/06/20
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        CommandLine|contains|all:
            - 'vssadmin'
            - 'delete'
            - 'shadows'
    condition: selection
level: critical

title: LockBit Ransomware - RDP Brute Force
id: lockbit-rdp-brute-force
status: experimental
description: 检测 RDP 暴力破解行为
author: Threat Intelligence Team
date: 2026/06/20
logsource:
    category: security
    product: windows
detection:
    selection:
        EventID: 4625
        LogonType: 10
        FailureReason: "*"
    condition: selection
level: high

title: LockBit Ransomware - Telegram Bot Communication
id: lockbit-telegram-bot
status: experimental
description: 检测异常的 Telegram Bot API 调用
author: Threat Intelligence Team
date: 2026/06/20
logsource:
    category: network_traffic
    product: proxy
detection:
    selection:
        DestinationPort: 443
        UserAgent|contains|all:
            - 'Telegram'
            - 'Bot'
    condition: selection
level: medium

rule LockBit_Ransomware {
    meta:
        description = "Detects LockBit ransomware samples"
        author = "Threat Intelligence Team"
        date = "2026-06-20"
    
    strings:
        $lockbit = "lockbit" ascii
        $readme = "FILES ENCRYPTED README.txt" ascii
        $telegram = "api.telegram.org" ascii
        $vssadmin = "vssadmin delete shadows" ascii
        
    condition:
        any of them
}

# 1. 禁用不必要的 RDP 暴露
# 2. 强制 MFA
# 3. 限制 RDP 访问 IP 白名单
# 4. 启用 Network Level Authentication (NLA)

# 5. 检查 RDP 暴力破解日志
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625} | Where-Object {$_.Properties[8].Value -eq 10}

# 1. 隔离受感染主机
netsh advfirewall firewall set rule group="remote desktop" new enable=no
netsh advfirewall firewall set rule group="file and printer sharing" new enable=no

# 2. 检查异常进程
Get-Process | Where-Object {$_.CompanyName -eq ""} | Select-Object Name, Id, Path

# 3. 检查卷影副本是否被删除
vssadmin list shadows

# 4. 检查新增服务
Get-Service | Where-Object {$_.StartType -eq "Automatic"} | Select-Object DisplayName, Status

# 5. 检查异常网络连接
netstat -ano | findstr "ESTABLISHED"

# 6. 检查勒索信文件
Get-ChildItem -Recurse -Filter "README.txt" -ErrorAction SilentlyContinue

# 7. 收集取证数据