Hoşgeldin Misafir

LockBit 3.0 (LockBit Black) – Kapsamlı Tehdit Analizi

Conrado Sol

Conrado Sol

Conrado Sol

29 Nis 2026
112 Mesaj

Aktiflik

Seviye

Deneyim

TIM / GÖREV:

1. LockBit Nedir?​

6613dedbc1ecd27d80764818-Lock-Bit-3-0-logo.webp


LockBit, ilk faaliyetleri 2019 yılına kadar uzanan ve özellikle 2021–2023 döneminde dünyanın en aktif ransomware operasyonlarından biri haline gelen bir fidye yazılımı ekosistemidir. LockBit klasik anlamda yalnızca tek bir zararlı yazılım değildir. Operasyon ağırlıklı olarak Ransomware-as-a-Service (RaaS) modeli üzerinden çalışmıştır. Bu model kabaca iki tarafa ayrılır:

LockBit operatörleri​

  • Ransomware'i geliştirir.
  • Yönetim altyapısını işletir.
  • Affiliate panelini sağlar.
  • Data Leak Site (DLS) altyapısını yönetir.
  • Yazılımı günceller ve yeni sürümler geliştirir.

Affiliates​

  • Hedef sistemlere erişim sağlar.
  • Ağ içerisinde hareket eder.
  • Verileri ele geçirir.
  • LockBit ransomware'ini hedef ortama dağıtır.
Dolayısıyla her LockBit saldırısının birebir aynı şekilde gerçekleşmesi beklenmez. CISA'nın da belirttiği gibi çok sayıda bağımsız affiliate bulunması, saldırılarda görülen TTP'lerin ciddi ölçüde değişmesine neden olmuştur.

2. LockBit'in Gelişimi​

LockBit operasyonu zaman içerisinde ciddi şekilde gelişmiştir.

2019 – ABCD Ransomware​

LockBit'in öncülü kabul edilen ransomware ilk kez Eylül 2019 civarında gözlemlendi.

2020 – LockBit​

LockBit ismi Rusça konuşulan siber suç forumlarında görülmeye başladı.

2021 – LockBit 2.0 / LockBit Red​

LockBit 2.0 ortaya çıktı. Operasyon büyüdü ve veri sızdırmak için kullanılan StealBit gibi araçlar ekosisteme dahil edildi.

2021 – Linux/ESXi​

Linux ve VMware ESXi sistemlerini hedefleyebilen sürümler geliştirildi.

2022 – LockBit 3.0 / LockBit Black​

Mart 2022 civarında LockBit 3.0 ortaya çıktı.

Yeni sürüm;​

  • gelişmiş defense evasion,
  • daha güçlü ransomware altyapısı,
  • geliştirilmiş exfiltration yetenekleri,
  • Windows/ESXi hedefleri,
  • daha gelişmiş affiliate sistemi
gibi özelliklerle önceki nesillerden ayrıldı. LockBit 3.0 bazı özellikleri açısından BlackMatter ve BlackCat/ALPHV ransomware aileleriyle benzerlikler göstermektedir. 2022 yılında LockBit 3.0 builder'ının sızdırılması ayrıca önemli bir gelişmeydi. Builder'ın ele geçirilmesi, LockBit'in resmi affiliate ekosisteminin dışında kalan aktörlerin de LockBit tabanlı payload üretmesini mümkün hale getirdi.

Not: LockBit saldırılarında tek bir saldırı zinciri bulunmamaktadır. Bunun temel nedeni RaaS modelidir. Bununla birlikte gözlemlenen saldırılar genel olarak şu zincire oturtulabilir:

Siber-Sald-r-Zinciri-nfografi-i.png


Önemli nokta şudur:

LockBit 3.0 ransomware binary'si saldırının tamamı değildir. Ransomware çoğu vakada saldırganın zaten sisteme erişim sağladığı operasyonun son aşamalarından biridir.

3. Initial Access​

LockBit ile ilişkili saldırılarda başlangıç erişimi farklı yöntemlerle gerçekleştirilebilmiştir. Bunlar arasında:
  • Phishing
  • Ele geçirilmiş hesaplar
  • Valid Accounts
  • RDP
  • Public-facing uygulamaların istismarı
  • İnternet üzerinde açık servisler
  • Daha önce elde edilmiş erişimlerin kullanılması
bulunmaktadır. Burada tekrar affiliate modeli önem kazanmaktadır. LockBit operatörünün ransomware geliştirmesi, hedef kuruma ilk erişimi mutlaka LockBit çekirdek ekibinin gerçekleştirdiği anlamına gelmez.

4. Sistem Keşfi – Discovery​

Sisteme erişim sağlandıktan sonra hedef ortam hakkında bilgi toplanması saldırının önemli aşamalarından biridir. LockBit 3.0'ın gözlemlenen yetenekleri arasında:
  • Hostname belirleme
  • Domain bilgisini belirleme
  • Local diskleri listeleme
  • Network share'leri keşfetme
  • Harici depolama cihazlarını tespit etme
  • Çalışan process/service'leri inceleme
  • Sistem dilini kontrol etme
bulunmaktadır. Özellikle network share discovery, ransomware saldırılarında önemlidir. Amaç yalnızca tek bilgisayarı değil, mümkün olduğunca geniş bir altyapıyı etkileyebilmektir.

5. Lateral Movement​

LockBit 3.0 ağ içerisinde yayılmak amacıyla farklı Windows mekanizmalarından faydalanabilir. MITRE ATT&CK tarafından belgelenen yöntemlerden bazıları:

SMB / Windows Admin Shares​

Network share'ler ve SMB altyapısı lateral movement amacıyla kullanılabilir.

PsExec​

Ele geçirilen sistemlerde uzaktan komut veya payload çalıştırmak amacıyla kullanılabilir.

Valid Accounts​

Ele geçirilmiş local/domain hesapları diğer sistemlere erişim sağlamak amacıyla kullanılabilir. Bu nedenle LockBit olaylarında yalnızca ransomware binary'sini tespit etmek yeterli değildir. Kimlik bilgilerinin nasıl ele geçirildiği ve saldırganın hangi sistemlere geçtiği de araştırılmalıdır.

6. Privilege Escalation ve UAC Bypass​

LockBit 3.0 gerekli ayrıcalıklara sahip olmadığı durumlarda UAC bypass gerçekleştirebilecek tekniklere sahiptir. MITRE tarafından belgelenen yöntemler arasında:

Elevated COM Interface ve CMSTP

üzerinden gerçekleştirilebilen UAC bypass yöntemleri bulunmaktadır. Yüksek yetki kazanılması özellikle güvenlik mekanizmalarının kapatılması ve ransomware'in geniş kapsamlı çalıştırılması açısından saldırgana avantaj sağlar.

7. Defense Evasion​

LockBit 3.0'ın güçlü olduğu alanlardan biri savunmadan kaçınmadır. Gözlemlenen davranışlar arasında:
  • Windows Defender üzerinde değişiklik yapılması
  • SmartScreen'in devre dışı bırakılmaya çalışılması
  • Registry değerlerinin değiştirilmesi
  • Windows Event Log'larının temizlenmesi
  • Payload'ın gizlenmesi/şifrelenmesi
  • Code packing
  • Çalıştırma parametrelerinin kontrol edilmesi
  • Belirli sistem dillerinin kontrol edilmesi
  • Kendi dosyasını sistemden silmesi
bulunmaktadır.

Execution Guardrails​

LockBit 3.0'ın ilginç özelliklerinden biri execution guardrail mekanizmalarıdır. Payload'ın çalışması belirli parametrelere veya özel bir passphrase'e bağlı olabilir. Bu yöntem ransomware örneğinin sandbox veya araştırma ortamlarında doğrudan çalıştırılmasını zorlaştırabilir.

8. Güvenlik ve Backup Sistemlerini Devre Dışı Bırakma​

Ransomware saldırılarında saldırgan için en büyük sorunlardan biri dosyaların backup'lardan geri yüklenebilmesidir. Bu nedenle LockBit sistem üzerindeki bazı servis ve process'leri durdurmaya çalışabilir. Bunlar özellikle:
  • Güvenlik yazılımları
  • Backup servisleri
  • Database servisleri
  • Encryption işlemini engelleyebilecek uygulamalar
olabilir. MITRE bunu:

T1489 – Service Stop

tekniği altında takip etmektedir.

9. Shadow Copy Silme​

Windows Volume Shadow Copy servisi bazı dosyaların önceki sürümlerinin kurtarılmasını sağlayabilir. Bu nedenle ransomware grupları recovery mekanizmalarını etkisiz hale getirmeye çalışır. LockBit 3.0 da:

T1490 – Inhibit System Recovery

tekniği kapsamında Volume Shadow Copy'leri silebilir. Amaç basittir:

Kurbanın fidye ödemeden sistemini kurtarma ihtimalini azaltmak.

10. Safe Mode Kullanımı​

LockBit 3.0'ın dikkat çekici özelliklerinden biri sistemi Safe Mode içerisinde yeniden başlatabilmesidir. Safe Mode'da bazı güvenlik ürünleri ve üçüncü parti servisler normal şekilde çalışmayabilir. Bu durum saldırganın ransomware'i daha az engelle karşılaşarak çalıştırmasına yardımcı olabilir. MITRE bu davranışı:

T1688 – Safe Mode Boot

olarak sınıflandırmaktadır.

11. Data Exfiltration​

Modern ransomware operasyonlarının amacı artık yalnızca dosyaları şifrelemek değildir. Saldırganlar şifreleme işleminden önce değerli verileri sistem dışına çıkarabilir. Örneğin:
  • Şirket belgeleri
  • Finansal bilgiler
  • Müşteri verileri
  • Personel bilgileri
  • Ticari sırlar
  • Internal dokümanlar
ele geçirilebilir. Ardından saldırgan:

"Fidye ödemezsen verilerini yayınlarız."

şeklinde ikinci bir baskı oluşturur. Bu yöntem Double Extortion olarak bilinir. LockBit operasyonunda veri yayınlamak amacıyla bir Data Leak Site kullanılmıştır:

6823ba7f0e46c5d8a5aacf3a-AD-4n-Xd-Bl9-Vu-R5-J7-Dwk9-Hfmzxzrb52qttp7-Mp-XVNFL1-Dz-DWj-mo-Zc-So-Dq-WASyzc-G.png


Bazı LockBit faaliyetlerinde şifreleme + veri sızdırma tehdidinin yanında DDoS gibi ek baskı yöntemlerinin kullanılması nedeniyle Triple Extortion yaklaşımından da söz edilmiştir.

12. Encryption / Impact​

Saldırının son aşamalarından biri dosyaların şifrelenmesidir. LockBit'in temel amacı mümkün olduğunca fazla kritik veriyi erişilemez hale getirerek operasyonel kesinti yaratmaktır. Ancak ransomware'in her dosyayı kör biçimde şifrelemesi mantıklı değildir. İşletim sisteminin tamamen kullanılamaz hale gelmesi saldırgan açısından da fidye görüşmelerini ve kurbanın ransom note'a erişmesini zorlaştırabilir.

Bu nedenle belirli sistem dosyaları veya dizinleri encryption işleminden hariç tutulabilir. MITRE ATT&CK bunu ağırlıklı olarak:

T1486 – Data Encrypted for Impact

kapsamında değerlendirir.

LockBit 3.0 – IOC​

Aşağıdaki hash değerleri LockBit 3.0 (LockBit Black) builder, keygen ve builder içerisinde bulunan bileşenlerle ilişkilendirilmiştir.

Builder:​

Kod: 
MD5:
c2bc344f6dde0573ea9acdfb6698bf4c

SHA1:
d6ae7dc2462c8c35c4a074b0a62f07cfef873c77

SHA256:
a736269f5f3a9f2e11dd776e352e1801bc28bb699e47876784b8ef761e0062db

Keygen:​

Kod: 
MD5:
71c3b2f765b04d0b7ea0328f6ce0c4e2

SHA1:
bf8ecb6519f16a4838ceb0a49097bcc3ef30f3c4

SHA256:
ea6d4dedd8c85e4a6bb60408a0dc1d56def1f4ad4f069c730dc5431b1c23da37

Resource 100:​

Kod: 
MD5:
4d388f95a81f810195f6a8dfe86be755

SHA1:
cb6fdb25a15b7797890fadc2b823984f93da5368

SHA256:
cc3d006c2b963b6b34a90886f758b7b1c3575f263977a72f7c0d1922b7feab92

Resource 101:​

Kod: 
MD5:
87308ec0a44e79100db9dbec588260ec

SHA1:
939ff7e5eeaccb0c2f4ee080a8e403e532b6317a

SHA256:
03b8472df4beb797f7674c5bc30c5ab74e8e889729d644eb3e6841b0f488ea95

Resource 103:​

Kod: 
MD5:
4655a7ac60ed48df9b57648db2f567ef

SHA1:
02ea524429ba2aefac63fed27e924ab3659f8c00

SHA256:
a0db5cff42d0ee0de4d31cff5656ed1acaa6b0afab07d19f9f296d2f72595a56

Resource 106:​

Kod: 
MD5:
23a30838502f5fadc97e81f5000c4190

SHA1:
9c1142122370c9b28b13aa147c6e126b3be50845

SHA256:
ae993930cb5d97caa5a95b714bb04ac817bcacbbf8f7655ec43e8d54074e0bd7

Host / Behavioral IOC​

LockBit 3.0 çalıştırıldığında aşağıdaki yapıda bir mutex oluşturabilir:

Kod: 
Global\<MD4 hash of Machine GUID>

Bilinen LockBit 3.0 command-line parametreleri:

Kod: 
-del
-gdel
-gspd
-pass <32-character value>
-path <file or path>
-psex
-safe
-wall

Bazı LockBit 3.0 affiliate vakalarında ayrıca aşağıdaki göstergeler gözlemlenmiştir:

Kod: 
Encrypted filename indicator:
*tf0gYx2YI*

Observed staging/execution directory:
C:\Temp\

YARA KURALLARI​

Aşağıdaki YARA kuralı LockBit 3.0 DLL encryptor içerisinde bulunan karakteristik export isimlerini kullanarak tespit gerçekleştirmek amacıyla VMware TAU tarafından yayımlanmıştır.

Kod: 
import "pe"

rule LockBit_3_dll
{
    meta:
        author = "VMware TAU"
        date = "2022-Oct-12"
        description = "Identifies LockBit 3.0 DLL encryptor by exported function names."
        yara_version = "4.2.3"
        exemplar_hash = "c2529655c36f1274b6aaa72911c0f4db7f46ef3a71f4b676c4500e180595cac6"

    condition:
        pe.exports("del") and
        pe.exports("gdel") and
        pe.exports("gdll") and
        pe.exports("gmod") and
        pe.exports("pmod") and
        pe.exports("sdll") and
        pe.exports("wdll")
}

LockBit 3.0 Artifact Hunting Rule​

Aşağıdaki kural ise LockBit 3.0'ın bilinen command-line artefaktlarını kullanarak şüpheli PE dosyalarının avlanması amacıyla kullanılabilecek basit bir hunting kuralıdır:

Kod: 
rule LockBit_3_CommandLine_Artifacts
{
    meta:
        description = "Hunting rule for LockBit 3.0 command-line artifacts"
        reference = "CISA/FBI AA23-075A"
        purpose = "Defensive Threat Hunting"

    strings:
        $a1 = "-gdel" ascii wide
        $a2 = "-gspd" ascii wide
        $a3 = "-psex" ascii wide
        $a4 = "-safe" ascii wide
        $a5 = "-wall" ascii wide
        $a6 = "-pass" ascii wide
        $a7 = "-path" ascii wide
        $a8 = "-del" ascii wide

    condition:
        uint16(0) == 0x5A4D and
        3 of ($a*)
}

13. Öne Çıkan MITRE ATT&CK Teknikleri​

LockBit 3.0 ile ilişkilendirilen önemli tekniklerden bazıları:

T1548.002 – Bypass User Account Control
T1071.001 – Web Protocols
T1484.001 – Group Policy Modification
T1573.001 – Symmetric Cryptography
T1480 – Execution Guardrails
T1083 – File and Directory Discovery
T1070.004 – File Deletion
T1490 – Inhibit System Recovery
T1112 – Modify Registry
T1135 – Network Share Discovery
T1027 – Obfuscated Files or Information
T1057 – Process Discovery
T1021.002 – SMB/Windows Admin Shares
T1688 – Safe Mode Boot
T1489 – Service Stop
T1218.003 – CMSTP
T1082 – System Information Discovery
T1614.001 – System Language Discovery
T1569.002 – Service Execution
T1078.003 – Valid Accounts: Local Accounts

Bu liste LockBit'in yalnızca "dosya şifreleyen program" olmadığını açıkça göstermektedir.

LockBit saldırısını yalnızca ransomware dosyasının hash'i üzerinden yakalamaya çalışmak doğru bir savunma yaklaşımı değildir. Özellikle LockBit 3.0 builder'ının sızdırılmış olması nedeniyle farklı aktörler farklı örnekler üretebilir. Bunun yerine behavior-based detection daha değerlidir.

Bizim dikkat edebileceğimiz davranışlar:
  • Ani Shadow Copy silme girişimleri
  • Backup servislerinin durdurulması
  • Güvenlik servislerinin toplu şekilde kapatılması
  • Defender/SmartScreen Registry değişiklikleri
  • PsExec'in olağandışı kullanımı
  • SMB üzerinden anormal lateral movement
  • Çok sayıda dosyada kısa sürede değişiklik
  • GPO üzerinde beklenmeyen değişiklikler
  • Event Log temizleme
  • Olağandışı Safe Mode değişiklikleri
  • Yönetici hesaplarında beklenmeyen authentication hareketleri
  • Büyük miktarda outbound data transferi
Tek bir IOC yerine birkaç davranışın korelasyonu çok daha güçlü bir detection oluşturabilir.

14. LockBit 3.0 Neden Başarılı Oldu?​

LockBit'in başarısını yalnızca ransomware'in teknik kalitesine bağlamak yanlış olur. Operasyonun güçlü taraflarından bazıları şunlardı:

1 – RaaS modeli​

Çok sayıda affiliate aynı ransomware altyapısını kullanabiliyordu.

2 – Kullanım kolaylığı​

LockBit affiliate paneli saldırganların ransomware operasyonlarını yönetmesini kolaylaştırıyordu.

3 – Sürekli geliştirme​

Yeni sürümler ve yeni özellikler düzenli olarak geliştirildi.

4 – Güçlü affiliate ekosistemi​

LockBit diğer ransomware gruplarıyla affiliate kazanmak için rekabet etti.

5 – Double extortion​

Backup'tan geri dönüş yapılabilse bile çalınan verilerin yayınlanması tehdidi kurban üzerinde baskı oluşturuyordu.

6 – Çoklu platform​

Windows ile sınırlı kalmayarak Linux ve VMware ESXi gibi sistemlere yönelik yetenekler geliştirilmesi kurumsal altyapılar açısından tehdidi büyüttü.

15. Operation Cronos​

LockBit tarihindeki en büyük darbe Operation Cronos oldu. Şubat 2024'te İngiltere National Crime Agency liderliğinde ve Europol/Eurojust koordinasyonuyla uluslararası kolluk kuvvetleri LockBit altyapısına büyük bir operasyon gerçekleştirdi. Operasyon sonucunda LockBit'in:
  • Ana platformu ele geçirildi.
  • Dark Web leak sitesi kontrol altına alındı.
  • Kritik altyapısı bozuldu.
  • 34 sunucu devre dışı bırakıldı.
  • 200'den fazla cryptocurrency hesabı donduruldu.
  • Operasyonla ilişkili kişiler hakkında tutuklama ve suçlama süreçleri başladı.
Ayrıca kolluk kuvvetleri LockBit altyapısından önemli miktarda teknik ve operasyonel veri elde etti. Bu yalnızca sunucu kapatma operasyonu değildi. LockBit'in güvenilirliğine ve affiliate ekosistemine yönelik de ciddi bir darbeydi.

16. LockBitSupp Kimdi?​

LockBit operasyonunun en bilinen personası:

LockBitSupp

idi. Uzun süre gerçek kimliği bilinmiyordu. Mayıs 2024'te ABD ve İngiltere makamları LockBitSupp'un:

Dmitry Yuryevich Khoroshev

olduğunu açıkladı. ABD Adalet Bakanlığı Khoroshev'i LockBit'in geliştiricisi ve yöneticisi olmakla suçladı. DOJ verilerine göre LockBit operasyonu:

120'den fazla ülkede 2.500'den fazla kurbanı

hedef aldı. Bunların yaklaşık 1.800'ü ABD'deydi. Yetkililere göre operasyon kurbanlardan:

en az 500 milyon dolar fidye ödemesi

elde etti. Olayların oluşturduğu toplam ekonomik zararın ise milyarlarca dolar seviyesinde olduğu değerlendirildi.

Operation Cronos LockBit'e çok ciddi zarar verdi ancak LockBit ekosistemini tamamen ortadan kaldırmadı. 2024 sonrasında kolluk kuvvetlerinin operasyonları devam etti ve LockBit bağlantılı geliştirici, affiliate ve altyapı sağlayıcılarına yönelik yeni operasyonlar gerçekleştirildi. Daha sonraki dönemde LockBit ekosistemi yeniden yapılanmaya çalıştı. 2025–2026 döneminde ise LockBit 5.0 olarak adlandırılan yeni nesil varyantlar gözlemlendi. Ekim 2026 itibarıyla yayınlanan güncel güvenlik uyarılarında LockBit 5.0'ın:
  • Windows
  • Linux
  • VMware ESXi
sistemlerini hedefleyebilen cross-platform yeteneklere sahip olduğu bildirilmektedir. Dolayısıyla:

"Operation Cronos LockBit'i tamamen bitirdi."

demek yerine:

"Operation Cronos LockBit'in altyapısını, güvenilirliğini ve affiliate ekosistemini ağır şekilde bozdu ancak LockBit markası ve türev faaliyetleri tamamen ortadan kalkmadı."

demek daha doğrudur. LockBit 3.0'ı tehlikeli yapan şey yalnızca güçlü bir ransomware olması değildi. Asıl güç;

Ransomware + RaaS + Affiliate ağı + Data Exfiltration + Double Extortion + Defense Evasion

kombinasyonundan geliyordu. LockBit vakaları aynı zamanda modern ransomware saldırılarının nasıl değiştiğinin güzel bir örneğidir. Artık saldırganın amacı yalnızca:

"Dosyalarını şifreledim."

değildir. Daha çok:

"Ağına girdim, yetkiler elde ettim, diğer sistemlere yayıldım, kritik verilerini dışarı çıkardım, recovery mekanizmalarını etkisiz hale getirdim ve ardından sistemlerini şifreledim."

modeline dönüşmüştür. Bu nedenle LockBit gibi tehditlere karşı savunmada yalnızca antivirus veya ransomware hash'lerine güvenmek yeterli değildir. Identity security, EDR, network monitoring, segmentation, MFA, patch management, offline/immutable backup, merkezi loglama ve davranış tabanlı detection birlikte uygulanmalıdır.
 
Cevap yazmak için giriş yap yada kayıt ol.
Geri
Üst