LockBit

LockBit war zwischen 2019 und 2024 die weltweit aktivste Ransomware-Gruppe und verantwortlich für über 2.000 dokumentierte Angriffe weltweit. Die Gruppe operierte als Ransomware-as-a-Service (RaaS) — sie stellte die Malware bereit, während Affiliates die eigentlichen Angriffe durchführten. Im Februar 2024 gelang Strafverfolgungsbehörden mit der Operation Cronos ein bedeutender Schlag gegen die Infrastruktur.

Wie LockBit vorgeht

LockBit war bekannt für seine Geschwindigkeit: Die Verschlüsselung begann oft innerhalb von Minuten nach der initialen Kompromittierung. Die Gruppe nutzte eine breite Palette von Angriffsvektoren: kompromittierte RDP-Zugänge, Phishing-E-Mails mit bösartigen Anhängen, die Ausnutzung von VPN-Schwachstellen (insbesondere Fortinet, Citrix und Pulse Secure) und Initial Access Broker. LockBit 3.0 führte zusätzlich ein Bug-Bounty-Programm ein — ein Novum in der Ransomware-Szene. Die Verschlüsselung erfolgte mit einer Kombination aus AES-256 und RSA-2048, was eine Entschlüsselung ohne Schlüssel praktisch unmöglich machte.

Double und Triple Extortion

LockBit praktizierte konsequent Double Extortion: Vor der Verschlüsselung wurden große Mengen an Daten exfiltriert. Die gestohlenen Daten wurden auf einer eigenen Leak-Site veröffentlicht, wenn das Opfer nicht zahlte. Ab LockBit 3.0 kam Triple Extortion hinzu — DDoS-Angriffe gegen die Infrastruktur des Opfers als zusätzliches Druckmittel. Die Lösegeldforderungen reichten von 50.000 USD bei kleinen Unternehmen bis zu mehreren Millionen USD bei Großkonzernen.

Betroffene Branchen und Regionen

LockBit war branchenübergreifend aktiv, mit besonderem Fokus auf das Gesundheitswesen, die Fertigungsindustrie, den Finanzsektor und öffentliche Einrichtungen. Im DACH-Raum waren zahlreiche mittelständische Unternehmen betroffen. Die Gruppe hatte explizit Angriffe auf kritische Infrastruktur in GUS-Staaten verboten — ein weiterer Hinweis auf den russischen Ursprung.

Operation Cronos und aktueller Status

Im Februar 2024 gelang einer internationalen Koalition aus FBI, NCA (UK), Europol und weiteren Behörden mit der Operation Cronos die Zerschlagung der LockBit-Infrastruktur. Server wurden beschlagnahmt, Entschlüsselungsschlüssel sichergestellt und mehrere Affiliates verhaftet. Der mutmaßliche Anführer Dmitry Khoroshev wurde identifiziert und angeklagt. Obwohl Versuche eines Neustarts beobachtet wurden, gilt LockBit als weitgehend neutralisiert.