Recuperação de Ataque LockBit (2.0, 3.0/Black e variantes)
Resposta direta
LockBit foi a família de ransomware mais prolífica entre 2021 e 2024, com versões 2.0, 3.0 (Black) e Green. Em fevereiro de 2024, a Operação Cronos (NCA/FBI) apreendeu a infraestrutura e liberou parte das chaves. Variantes derivadas seguem ativas em 2026. A HD Doctor opera resposta técnica: contenção, forense de comprometimento, tentativa de decryptor público quando elegível e restore de backup ou VM, com cadeia de custódia documentada para laudo pericial.
Não pague o resgate antes de uma análise técnica. Em muitos casos LockBit 3.0/Black há possibilidade de decryptor parcial via chaves Cronos. Pagamento não garante recuperação e pode violar sanções internacionais.
O que é LockBit
LockBit é uma família de ransomware Ransomware-as-a-Service (RaaS) operada por um grupo criminoso ligado à Rússia, ativa desde 2019. Evoluiu por LockBit 1.0, 2.0 (Red), 3.0 (Black) e Green. Usa AES-256 + RSA-2048 e adiciona extensão variável aos arquivos (.lockbit, .HLJkNskOq, [random].README.txt). Característica marcante: deixa nota com link Tor e prazo curto de pagamento, com vazamento progressivo em site darknet. A Operação Cronos (Feb/2024) apreendeu domínios e parte da infraestrutura.
Sintomas de infecção por LockBit
- Arquivos com extensão .lockbit, .HLJkNskOq ou nome aleatório de 9 caracteres + .README.txt
- Nota 'Restore-My-Files.txt' ou '[ID].README.txt' em cada pasta
- Wallpaper alterado para fundo preto com ícone LockBit
- Logs do AD com Mimikatz, PsExec, Cobalt Strike Beacon
- Cópias de sombra (Volume Shadow Copies) apagadas via vssadmin
- Hyper-V/ESXi com VMs desligadas e VMDK/VHDX criptografados
Vetores de ataque mais comuns
| Causa | % | Recuperável? |
|---|---|---|
| RDP exposto sem MFA, brute force ou credencial leaked | 42% | Restore + endurecimento |
| Phishing com macro do Office (Emotet, IcedID) | 18% | Restore + treinamento |
| Exploit Fortinet (CVE-2018-13379, CVE-2023-27997) | 12% | Patch + restore |
| Citrix NetScaler (CitrixBleed CVE-2023-4966) | 10% | Patch + restore |
| Compromisso via Initial Access Broker | 8% | Forense da entrada |
| Outros / não identificado | 10% | Análise caso a caso |
Distribuição estimada baseada em CISA AA23-325A e telemetria HD Doctor 2024-2025.
O que NÃO fazer ao identificar LockBit
- 1.Não pague o resgate sem análise. Em casos LockBit 3.0/Black há chaves liberadas pela Operação Cronos. Tentativa de decryptor gratuita antes de qualquer pagamento.
- 2.Não desligue os servidores aleatoriamente. Memória RAM contém artefatos forenses críticos (chaves em uso, IoCs). Snapshot antes de qualquer ação.
- 3.Não reinstale o sistema imediatamente. Apagar a evidência impede forense de comprometimento e cumprimento de notificação ANPD/LGPD.
- 4.Não conecte backups offline na rede infectada. LockBit propaga em SMB. Conectar backup limpo sem contenção pode criptografar tudo.
- 5.Não negocie sem prova de descriptografia. Operadores devem provar a posse da chave descriptografando 1 arquivo de teste antes de qualquer movimento.
Processo HD Doctor para resposta LockBit
Resposta técnica em 5 fases. Cadeia de custódia documentada para laudo pericial e notificação ANPD.
- 1
Triagem e contenção (0 a 6h)
Isolamento de segmento de rede, snapshot de VMs vivas, captura de memória RAM nos hosts críticos, preservação de logs SIEM. Comunicação inicial com cliente e DPO.
- 2
Forense de comprometimento (6 a 48h)
Identificação da variante exata (LockBit 2.0/3.0/Black/Green), vetor de entrada, contas comprometidas, exfiltração de dados (LockBit usa StealBit). Linha do tempo do ataque.
- 3
Tentativa de decryptor (24 a 72h)
Match contra base de chaves Operação Cronos (NCA/FBI), tentativa com decryptor público para variantes elegíveis, validação em ambiente isolado antes de uso em produção.
- 4
Recuperação de backup ou mídia física (3 a 15 dias)
Restore de backup limpo (Veeam, Commvault, Azure Backup), recuperação de VMs em ESXi/Hyper-V via reconstrução de VMDK criptografado quando aplicável, recuperação de banco SQL Server/Oracle.
- 5
Hardening e laudo (5 a 20 dias)
Plano de endurecimento (MFA, segmentação, patches, EDR), revisão de Active Directory, relatório técnico forense para uso em laudo pericial e notificação ANPD.
SLA típico para resposta LockBit
| Cenário | Prazo |
|---|---|
| Triagem inicial e contenção | 0 a 6h após contato |
| Forense de comprometimento | 24 a 72h |
| Tentativa de decryptor público | 24 a 72h |
| Restore de backup ou VM crítica | 3 a 15 dias úteis |
| Laudo técnico final para ANPD/perícia | 10 a 25 dias úteis após contenção |
- Operamos 24×7 para resposta inicial em casos corporativos.
- Cadeia de custódia documentada permite uso do material em processos judiciais.
Sistemas afetados e cobertura
LockBit ataca preferencialmente Windows Server, mas tem variante Linux para ESXi. Cobrimos os principais ambientes.
| Família | Suporte | Notas |
|---|---|---|
| Windows Server 2012 R2 a 2022 | ✅ Resposta completa | AD, file servers, SQL Server |
| VMware ESXi 6.0 a 8.0 | ✅ Resposta a LockBit-Linux | VMDK criptografados, datastore |
| Hyper-V Windows Server | ✅ Reconstrução de VHDX | Cluster Hyper-V |
| Linux servers (RHEL, Ubuntu) | ✅ Backup + forense | PostgreSQL, MySQL, NGINX |
| Backup Veeam / Commvault | ✅ Restore guiado | Inclui forense de tentativa de criptografia do backup |
Por que HD Doctor para resposta LockBit
- ⚡Resposta 24×7 em até 6h para casos corporativos, com engenheiro sênior direto sem fila de chamado.
- 🔓Base atualizada com chaves Operação Cronos (NCA/FBI Feb/2024) para tentativa de decryptor antes de qualquer pagamento.
- 📋Cadeia de custódia documentada para uso forense em laudo pericial e notificação ANPD em até 72h.
- 💾Recuperação física complementar (sala limpa Classe 100) para discos com criptografia + falha de hardware simultânea.
- 🏛️Atendemos órgãos públicos, hospitais e escritórios de advocacia com NDA específico do setor.
Perguntas frequentes sobre LockBit
Existe decryptor gratuito para LockBit?
Sim, parcialmente. A Operação Cronos (Feb/2024, NCA + FBI + Europol) liberou aproximadamente 7.000 chaves de descriptografia para vítimas específicas de LockBit 2.0 e 3.0/Black. Nem todos os casos têm chave disponível, mas tentativa de match contra a base oficial é o primeiro passo gratuito antes de considerar pagamento.
Quanto tempo até recuperar após ataque LockBit?
Varia muito. Contenção inicial e forense: 24 a 72h. Tentativa de decryptor: 24 a 72h. Restore de backup limpo (se existir): 3 a 10 dias. Reconstrução completa sem backup: 15 a 45 dias. SLA detalhado é definido após triagem do escopo.
Devo pagar o resgate ao LockBit?
Recomendação técnica: não, sem antes esgotar alternativas. Razões: (1) Operação Cronos pode ter sua chave; (2) pagar não garante recuperação (vários casos LockBit Black pós-Cronos não entregaram chave funcional); (3) pode violar sanções OFAC; (4) financia ataques futuros. Avalie com seu jurídico e seguradora cyber antes de qualquer movimento.
LockBit roubou meus dados antes de criptografar?
Provavelmente sim. LockBit usa StealBit (ferramenta própria) para exfiltrar dados antes de criptografar, como base para dupla extorsão. O vazamento aparece no site darknet do grupo. Notificação ANPD é obrigatória em até 72h sob LGPD se houver dado pessoal envolvido.
Como evitar reinfecção?
Cinco controles obrigatórios pós-incidente: (1) MFA em TODOS os acessos remotos (RDP, VPN, RMM); (2) patches críticos aplicados (Fortinet, Citrix, Microsoft Exchange); (3) EDR ativo (CrowdStrike, SentinelOne, Defender for Endpoint); (4) backup imutável offline; (5) segmentação de rede com VLANs e regras de firewall internas. Nosso laudo inclui plano de endurecimento priorizado.
Sob ataque LockBit agora?
Resposta em até 6h para casos corporativos. Cadeia de custódia documentada.