نظرة عامة
LockBit من أكثر مجموعات الفدية نشاطًا في التاريخ، وتعمل كمنصة فدية كخدمة متكاملة قُدّر أنها شكّلت في ذروتها نحو 44% من حوادث الفدية عالميًا في 2023، وتستهدف تقريبًا كل القطاعات حول العالم عبر نموذج شركاء يتولى فيه المطورون البنية التحتية وينفّذ الشركاء عمليات الاختراق.
- تاريخ أول رصد: 2020-10-21
- ورد ذكرها في تقاريرنا: فرنسا · ملخص منطقة الخليج · الكويت · المغرب العربي · عُمان · قطر · تركيا
ما أوردته التقارير المنشورة
أسماء أخرى: LockBit 3.0 (Black) · LockBit 5.0
- تعرضت المجموعة لعملية تعطيل ضمن عملية Cronos التي قادتها المملكة المتحدة في فبراير 2024. ولاحقًا، وُجهت في الولايات المتحدة لائحة اتهام إلى مواطن روسي يُشتبه في أنه المشغّل الرئيسي للمجموعة، وفُرضت عليه عقوبات، كما أُعلن عن مكافأة تصل إلى 10 ملايين دولار أمريكي مقابل معلومات عنه. وعادت العلامة تحت اسم LockBit 5.0 في أواخر عام 2025.
- أعلنت LockBit 5.0 عن 163 ضحية خلال الربع الأول من عام 2026، لتعود بذلك إلى قائمة عمليات برمجيات الفدية الأكثر نشاطًا على مستوى العالم.
النطاق الجغرافي: المنشأ والأهداف
المنشأ المُقدَّر: روسيا. عملية ناطقة بالروسية؛ وتذكر لوائح اتهام أمريكية منشورة مواطنين روسًا ضمن قادة المجموعة وشركائها. لا يزال إسناد هذه المجموعة إلى جهة أو بلد معين غير مؤكد. لذا ينبغي التعامل مع هذا التقييم بوصفه تقديرًا يستند إلى المعلومات المتاحة، لا دليلًا قاطعًا.
تايلاند1
المملكة المتحدة1
سويسرا1
الهند1
الثغرات التي ثبت استغلالها
| الشركة المصنّعة | المنتج | المعرّف | الفئة | المصدر |
|---|---|---|---|---|
| Apache | Log4j | CVE-2021-44228 | تطبيقات | cisa.gov, secureworks.com, blog.talosintelligence.com, trendmicro.com |
| Atlassian | Confluence Data Center & Server | CVE-2023-22527 | تطبيقات | thedfirreport.com |
| Fortra | GoAnywhere Managed File Transfer | CVE-2023-0669 | خوادم نقل الملفات | censys.io, cisa.gov |
| Windows | NetLogon | CVE-2020-1472 | مايكروسوفت | cisa.gov, cisa.gov, cisa.gov, cisa.gov, cisa.gov, thedfirreport.com, thedfirreport.com, cisa.gov, cisa.gov, welivesecurity.com, cisa.gov, thedfirreport.com, checkpoint.com |
| Windows | Remote Desktop Services | CVE-2019-0708 | مايكروسوفت | cisa.gov |
| Fortinet | FortiOS | CVE-2018-13379 | أجهزة ومكونات الحافة الشبكية | tenable.com, cisa.gov, cisa.gov, trendmicro.com, cisa.gov |
| F5 | iControl REST | CVE-2021-22986 | أجهزة ومكونات الحافة الشبكية | cisa.gov |
| Citrix | NetScaler ADC & Gateway | CVE-2023-4966 | المحاكاة الافتراضية | doublepulsar.com, bleepingcomputer.com, therecord.media, secureworks.com, microsoft.com |
تقنيات ATT&CK
تمثل الأعمدة تكتيكات إطار MITRE ATT&CK، وتعرض كل خلية تقنية نُسب استخدامها إلى المجموعة في مصادر منشورة. ولا يعني إدراج تقنية أنها استُخدمت بالضرورة في حادثة محددة، كما أن عدم إدراجها لا يثبت أن المجموعة لا تستخدمها.
تفاصيل التقنيات
الوصول الأولي (TA0001)
- T1078 · Valid Accounts: استخدام بيانات اعتماد مخترَقة اشتُريت من وسطاء الوصول الأولي أو حُصل عليها بالتصيد الاحتيالي للمصادقة إلى بيئات الضحايا عبر RDP أو VPN.
- T1190 · Exploit Public-Facing Application: يستغل مشغّلو LockBit ثغرات في تطبيقات مواجهة للإنترنت، منها Citrix Bleed (CVE-2023-4966) وأجهزة Fortinet وغيرها من أجهزة المحيط، للحصول على وصول أولي.
- T1566 · Phishing: رسائل تصيد موجّه بمرفقات أو روابط خبيثة لتسليم المحمّلات الأولية.
التنفيذ (TA0002)
- T1047 · Windows Management Instrumentation: يُستخدم WMI للتنفيذ عن بُعد للحمولات عبر الأجهزة المخترَقة.
- T1053.005 · Scheduled Task/Job: Scheduled Task: تُنشأ مهام مجدولة لتنفيذ مستمر لحمولة LockBit وأدوات ما بعد الاختراق.
- T1059.001 · Command and Scripting Interpreter: PowerShell: تُستخدم سكربتات PowerShell لنشر حمولات الفدية وتنفيذ وحدات ما بعد الاستغلال.
الاستمرارية (TA0003)
- T1547.001 · Boot or Logon Autostart Execution: Registry Run Keys: تُعدَّل مفاتيح التشغيل في السجل لضمان تنفيذ حمولة الفدية عند إعادة تشغيل النظام.
تفادي الاكتشاف (TA0005)
- T1027 · Obfuscated Files or Information: حمولات LockBit مضغوطة ومعمّاة؛ ويستخدم LockBit 3.0 (Black) شيفرة من برمجية الفدية BlackMatter مع تقنيات مضادة للتحليل.
- T1070.001 · Indicator Removal: Clear Windows Event Logs: تُمسح سجلات الأحداث لإزالة الأدلة الجنائية على الاختراق قبل نشر برمجية الفدية أو بعده.
- T1562.001 · Disable or Modify Tools: يُعطَّل Windows Defender وغيره من أدوات مكافحة الفيروسات وEDR عبر أوامر PowerShell وتعديلات سياسة المجموعة قبل نشر برمجية الفدية.
الوصول إلى بيانات الاعتماد (TA0006)
- T1003.001 · OS Credential Dumping: LSASS Memory: يُستخدم Mimikatz وأدوات مخصصة لاستخراج ذاكرة LSASS وجمع بيانات الاعتماد لتسهيل الحركة الجانبية.
- T1110 · Brute Force: هجمات قوة غاشمة على RDP وغيره من الخدمات البعيدة للحصول على بيانات اعتماد صالحة.
الاستكشاف (TA0007)
- T1046 · Network Service Discovery: تُستخدم أدوات فحص الشبكة (Advanced IP Scanner وnmap) لحصر الأجهزة والمنافذ المفتوحة والخدمات داخل بيئة الضحية.
- T1482 · Domain Trust Discovery: حصر Active Directory لرسم علاقات الثقة في النطاق وتحديد أهداف الحركة الجانبية واختراق النطاق.
الحركة الجانبية (TA0008)
- T1021.001 · Remote Services: Remote Desktop Protocol: يُستخدم RDP على نطاق واسع للتنقل جانبيًا عبر شبكة الضحية ببيانات اعتماد مسروقة.
- T1021.002 · Remote Services: SMB/Windows Admin Shares: يُستفاد من PsExec ومجلدات SMB الإدارية لنشر حمولة الفدية جانبيًا.
- T1210 · Exploitation of Remote Services: استغلال خدمات داخلية غير مُحدَّثة للتنقل جانبيًا داخل الشبكة.
جمع البيانات (TA0009)
- T1560.001 · Archive Collected Data: Archive via Utility: يُستخدم 7-Zip وWinRAR لضغط البيانات المسروقة قبل تسريبها ضمن عمليات الابتزاز المزدوج.
استخراج البيانات (TA0010)
- T1048 · Exfiltration Over Alternative Protocol: يُستخدم SFTP وFTP لنقل البيانات المسروقة إلى بنية يتحكم فيها المهاجم.
- T1567.002 · Exfiltration Over Web Service: Exfiltration to Cloud Storage: يُستخدم Rclone وMEGASync لتسريب بيانات الضحايا إلى خدمات تخزين سحابي قبل التشفير ضمن نموذج الابتزاز المزدوج.
القيادة والتحكم (TA0011)
- T1090.003 · Proxy: Multi-hop Proxy: يُستخدم Tor وشبكات إخفاء الهوية الأخرى لتعمية بنية القيادة والتحكم.
- T1219 · Remote Access Software: تُنشر أدوات وصول بعيد مشروعة مثل AnyDesk كأبواب خلفية لوصول قيادة وتحكم مستمر.
التأثير (TA0040)
- T1486 · Data Encrypted for Impact: يستخدم LockBit تشفير AES-256 للملفات مع RSA-2048 لحماية المفاتيح. ويستخدم LockBit 3.0 خوارزمية Salsa20، وتُلحق بالملفات امتداد خاص بكل ضحية. ويعمل كفدية كخدمة ببرنامج شركاء.
- T1489 · Service Stop: تُنهى خدمات قواعد البيانات والنسخ الاحتياطي والأمان قبل التشفير لزيادة الوصول إلى الملفات وتغطية التشفير.
- T1490 · Inhibit System Recovery: تُحذف النسخ الظلية والاحتياطية عبر أوامر vssadmin وwmic لمنع الاستعادة دون دفع الفدية.
الأدوات
لم تُسجَّل أي معلومات في المصادر التي راجعناها.
البنية التحتية لمواقع التسريب
| العنوان | النوع | العنوان بعد تعطيل الرابط | حالة الظهور وقت جمع البيانات |
|---|---|---|---|
| — | DLS | lockbitkodidilol[.]onion | لا |
المصادر والتحفظات
تستند أوصاف المجموعات، ومواءمات MITRE ATT&CK، ومعلومات الأدوات ومواقع التسريب إلى مشاريع عامة لتتبع برمجيات الفدية، منها ransomware.live وCrocodyli. أما بيانات الثغرات التي استُغلت فتستند إلى مصفوفة Ransomware-Vulnerability-Matrix التابعة لـBushidoUK، المنشورة بموجب ترخيص CC BY 4.0. وقد استُكملت بعض البيانات عندما كانت المعلومات المتاحة عن مجموعة معينة في ذلك المصدر أحدث من البيانات لدينا. يرتبط كل معرّف CVE بمصدره الأصلي. أُبقيت الأوصاف التقنية باللغة الإنجليزية كما نُشرت. وعُطّلت روابط مواقع التسريب لتسهيل حظرها والكشف عنها؛ لا تزُر هذه المواقع. لم تتحقق ClairSec_ بصورة مستقلة من صحة المعلومات على مستوى كل حادثة.
تاريخ توثيق البيانات: 2026-10-11