Разоблачение инфраструктуры LockBit 5.0: IP 205.185.116.233, karma0.xyz

Недавнее расследование выявило ключевые элементы инфраструктуры LockBit 5.0 — одной из самых активных групп, применяющих ransomware. В отчет включены конкретные индикаторы: IP-адрес 205.185.116.233 и домен karma0.xyz, который используется как хост для последних сливов данных жертв.

Что именно было обнаружено

• IP-адрес: 205.185.116.233 — задействован в поддержке инфраструктуры группы.
• Домен: karma0.xyz — служит площадкой для публикации утечек и хранения скомпрометированных данных.
• Поведение LockBit 5.0: версия известна возможностями самораспространения, эксфильтрацией крупных массивов данных перед шифрованием и ориентированием на различные сектора промышленности и бизнеса.

Почему это важно

Идентификация инфраструктуры предоставляет аналитикам по кибербезопасности и правоохранительным органам существенное преимущество: понимание точек присутствия злоумышленников даёт основу для оперативных контрмер, уведомления провайдеров и планирования takedown-операций. Этот инцидент подчеркивает важность объединённых и координированных усилий в противодействии ransomware-as-a-service.

«Идентификация инфраструктуры может дать аналитикам и правоохранительным органам возможности для ограничения оперативной деятельности злоумышленников, что в перспективе снижает эффективность атак».

Потенциальные действия против инфраструктуры

• Инициирование юридических и технических запросов к хостинг-провайдерам для удаления материалов с karma0.xyz и блокировки 205.185.116.233.
• Координация с CERT, правоохранительными органами и международными партнёрами для проведения takedown-операций и sinkholing.
• Обмен IOC (indicators of compromise) с индустриальными и государственными структурами для оперативной откладки обороны.

Рекомендации для организаций и команд реагирования

• Немедленно добавить 205.185.116.233 и karma0.xyz в черные списки на периметре сети и в системе DNS-фильтрации.
• Провести поиск по логам и EDR на предмет коммуникаций с указанными индикаторами и оценить степень компрометации.
• Усилить мониторинг эксфильтрации данных и проверить целостность резервных копий.
• Подготовить и отработать планы реагирования на инциденты, включая координацию с внешними экспертами и правоохранительными органами.
• Обеспечить сегментацию сети, своевременное патч-менеджмент и обучение сотрудников для снижения вероятности успешной атаки.

Вывод

Раскрытие связей LockBit 5.0 с IP 205.185.116.233 и доменом karma0.xyz — важный шаг в борьбе с одной из наиболее опасных групп, действующих в сфере ransomware. Скоординированные действия аналитиков, провайдеров и правоохранительных органов могут значительно ослабить оперативные возможности злоумышленников и снизить риск для организаций. Постоянный мониторинг и расследование инфраструктуры подобных групп остаются критически важными для сдерживания угроз в киберпространстве.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.