Skip to main content
Return to Blog de Segurança TrendAI™
Ransomware

Novo LockBit 5.0 Alvo Windows, Linux, ESXi

A TrendAI™ Research analisou binários de origem da atividade mais recente do notório Ransomware LockBit com sua versão 5.0, que exibe técnicas avançadas de ofuscação, anti-análise e capacidades multiplataforma perfeitas para sistemas Windows, Linux e ESXi.

News Research features Ransomware & extortion
September 25th, 2025 7 min read Sarah Pearl Camiling , Jacob Santos

Key Takeaways

  • A variante do LockBit 5.0 para Windows utiliza forte ofuscação e empacotamento ao carregar sua carga útil através de reflexão DLL, enquanto implementa técnica anti-análise. A variante para Linux possui funcionalidade semelhante com opções de linha de comando para direcionar diretórios e tipos de arquivos específicos. A variante ESXi tem como alvo específico a infraestrutura de virtualização VMware, projetada para criptografar máquinas virtuais.
  • As novas variantes usam extensões de arquivo aleatórias de 16 caracteres, evitam sistemas em idioma russo e limpam o log de eventos após a criptografia.
  • LockBit 5.0 também possui um ESXi dedicado que tem como alvo a infraestrutura de virtualização ESXi da VMware.
  • A existência de variantes para Windows, Linux e ESXi confirma a estratégia contínua de multiplataforma do LockBit, permitindo ataques simultâneos em redes empresariais inteiras, incluindo ambientes virtualizados. A forte ofuscação e as melhorias técnicas em todas as variantes tornam o LockBit 5.0 significativamente mais perigoso do que seus predecessores.
  • O TrendAI Vision One™ detecta e bloqueia os IoCs específicos mencionados neste blog e oferece aos clientes acesso a consultas de caça, insights de ameaças e relatórios de inteligência relacionados ao LockBit 5.0.

A Pesquisa da Trend™ identificou e analisou os binários de origem de uma nova versão LockBit em circulação, que é a mais recente das atividades do grupo após a operação de aplicação da lei em fevereiro de 2024 (Operação Cronos) que interrompeu sua infraestrutura. No início de setembro, o grupo de ransomware LockBit supostamente ressurgiu para seu sexto aniversário, anunciando o lançamento do "LockBit 5.0". A Pesquisa da Trend descobriu um binário disponível em circulação e iniciou a análise que inicialmente descobriu uma variante para Windows e confirmou a existência de variantes para Linux e ESXi do LockBit 5.0.

Esta última notícia continua a estratégia estabelecida de multiplataforma do grupo vista desde o LockBit 2.0 em 2021.

A análise da Pesquisa da Trend encontrou que o binário do Windows usa forte ofuscação e empacotamento: ele carrega sua carga útil através de reflexão DLL enquanto implementa técnicas anti-análise como patching ETW e encerramento de serviços de segurança. Enquanto isso, a nova variante Linux descoberta mantém funcionalidade semelhante com opções de linha de comando para direcionar diretórios e tipos de arquivos específicos. A variante ESXi especificamente visa ambientes de virtualização VMware, projetada para criptografar infraestruturas de máquinas virtuais inteiras em um único ataque.

Nossa investigação também revela que essas versões mais recentes compartilham comportamentos-chave: extensões de arquivo aleatórias de 16 caracteres, evitação de sistema de idioma russo através de verificações de geolocalização e limpeza de logs de eventos após a criptografia. A versão 5.0 também compartilha características de código com o LockBit 4.0, incluindo algoritmos de hash idênticos e métodos de resolução de API, confirmando que esta é uma evolução da base de código original, em vez de uma imitação.

Análise do LockBit 5.0 para Windows

A versão Windows do LockBit 5.0 usa o parâmetro -h para exibir informações de ajuda; a nova versão apresenta uma interface de usuário melhor com formatação limpa, que não foi vista em versões anteriores. Ela descreve várias opções e configurações para executar o ransomware, incluindo opções básicas como especificar diretórios para criptografar ou ignorar, modos de operação como modo invisível e modo detalhado, configurações de notas, configurações de criptografia, opções de filtragem e exemplos de uso. Os comandos e parâmetros detalhados ilustram a flexibilidade e personalização disponíveis para o atacante.

Figure 1. Help command shows the parameters and their respective uses
Figure 1. Help command shows the parameters and their respective uses

Table 1 shows the command line arguments observed in Trend Research threat hunting analysis and their respective descriptions.

Option Description
Basic Options
-h Show help
-d <dirs> Semicolon-separated list of directories to encrypt
-b <dirs> Semicolon-separated list of directoriees to bypass
Operation Modes
-i Invisible mode (don't change extensions, no notes, don't change modiciationdate)
-p Run in verbose visible mode with status bar inc onsole (not available when using -i)
-v Run in visible mode with debug output
Notes Settings
-n <0/1/2> Notes storage mode:
0: None
1: Everywhere
2: C:\ only
Ignored when using -i (invisible mode)
Encryption Settings
-m <mode> -w Encryption mode:
all: Encrupt all files
local: Encrypt local files
net: Encrypt network files
Enable wipe free space after encryption
Filtering
-k Don'r delete .exe files
-nomutex Allow multiple instances
Timeout
-t <seconds> Set timeout before starting encryption
Table 1. A summary of the command line arguments in our analysis of the LockBit 5.0 Windows version.

Após a execução, o ransomware gera sua nota de resgate assinada e direciona as vítimas para um site de vazamento dedicado. A infraestrutura mantém o modelo de interação com vítimas estabelecido pelo LockBit, apresentando uma seção simplificada de "Bate-papo com Suporte" para negociações de resgate.

Figure 2. The ransom note generated by LockBit 5.0
Figure 2. The ransom note generated by LockBit 5.0
Figure 3. The leak site where link on the ransom note directs to when visited by victims
Figure 3. The leak site where link on the ransom note directs to when visited by victims
Figure 4. The data leak site provides a direct communication channel with the victims in the "Chat with Support" section.
Figure 4. The data leak site provides a direct communication channel with the victims in the "Chat with Support" section.

O processo de criptografia adiciona extensões aleatórias de 16 caracteres aos arquivos, complicando os esforços de recuperação. Ao contrário de algumas variantes de ransomware que usam marcadores de infecção comuns, o LockBit 5.0 omite marcadores tradicionais no final dos arquivos. No entanto, nossa análise revelou padrões consistentes, incluindo o tamanho original do arquivo incorporado no rodapé do arquivo criptografado.

Figure 5. LockBit 5.0 encrypted files are appended with unique and seemingly randomly generated extensions with 16 characters which complicates the decryption process.
Figure 5. LockBit 5.0 encrypted files are appended with unique and seemingly randomly generated extensions with 16 characters which complicates the decryption process.
Figure 6. End part of encrypted file A
Figure 6. End part of encrypted file A
Figure 7. End part of encrypted file B
Figure 7. End part of encrypted file B

A amostra analisada pela Pesquisa da Trend emprega forte ofuscação através de empacotamento. Durante a depuração, descobrimos que ela funciona como um carregador binário, descriptografando um binário PE na memória e carregando-o através de métodos de reflexão DLL. Este mecanismo de carregamento sofisticado complica significativamente a análise estática.

Figure 8. Decrypted PE binary in the memory of loader
Figure 8. Decrypted PE binary in the memory of loader

Além disso, o malware implementa várias técnicas anti-forense. Ele corrige a API EtwEventWrite substituindo-a por uma instrução 0xC3 (retorno), desativando as capacidades de Rastreamento de Eventos do Windows. Além disso, ele encerra serviços relacionados à segurança comparando nomes de serviços hash contra uma lista codificada de 63 valores, depois limpa todos os logs de eventos usando a API EvtClearLog após a conclusão da criptografia.

Figure 9. Before patching of EtwEventWrite
Figure 9. Before patching of EtwEventWrite
Figure 10. After patching EtwEventWrite, the malware shows a C3 byte forcing it to immediately return.
Figure 10. After patching EtwEventWrite, the malware shows a C3 byte forcing it to immediately return.

Ele compara todos os serviços se eles executam o sistema ao fazer hash do nome do serviço e compará-lo com a lista codificada. Nomes de serviços que correspondem são então encerrados.

FEF56F15, BEC3470B, 9757464D, 88CE6B8E, 826AC445, 83143F70, 8685D050, 493AEE1F, 35BE2F4E, 23FA53E4, FEF56F16, 10D06066, 1370CEA3, E11A285C, DBECA3C2, BEC3470C, C347B317, CA6C4394, 732AA0BF, 60B29D13, 493AEE20, 5E5F1954, 5EF504FC, A49FA5E2, 9757464E, 9A768D62, A1816235, 41278146, 35BE2F4F, 369D7114, 3B6794E3, E7AA4056, E11A285D, E5C9CC93, E66A2C63, 7B39B584, 732AA0C0, 739BF272, 7ABD1404, 88CE6B8F, 9439954E, 9655130F, 23FA53E5, 26336765, 2C1F8E5F, DBECA3C3, DCF04E8C, DEED0E56, 60B29D14, 62C32884, 6337AD82, A49FA5E3, A8F16BAB, BD071334, 41278147, 4292EDD8, 47F1286A, E7AA4057, E7BF305D, F82A288D, 7B39B585, 7F480CF7, 7DD43601
Figure 11. Event log clearing using EvtClearLog API
Figure 11. Event log clearing using EvtClearLog API

Consistente com versões anteriores, o LockBit 5.0 inclui salvaguardas geopolíticas, encerrando a execução ao detectar configurações de idioma russo ou geolocalização russa. Esta é uma prática comum entre grupos de ransomware da Europa Oriental.

Figure 12. This code terminates if the language is Russian
Figure 12. This code terminates if the language is Russian
Figure 13. This code terminates if the geolocation is Russia
Figure 13. This code terminates if the geolocation is Russia

Análise do LockBit 5.0 para Linux

A variante Linux 5.0 tem características semelhantes à sua contraparte Windows, demonstrando o compromisso do LockBit com capacidades multiplataforma. A interface de linha de comando espelha a formatação e funcionalidade da versão Windows, fornecendo aos atacantes a mesma flexibilidade operacional em ambas as plataformas.

Figure 14. The LockBit 5.0 Linux version shows similar formatting of help options
Figure 14. The LockBit 5.0 Linux version shows similar formatting of help options

Durante a execução, a variante Linux fornece registros detalhados de suas atividades, exibindo arquivos direcionados para criptografia e pastas designadas para exclusão. Esta transparência nos registros de operação sugere que a variante pode ser usada em ambientes de teste ou por afiliados que exigem feedback detalhado de execução.

Figure 15. Logging activity shows the files to be encrypted
Figure 15. Logging activity shows the files to be encrypted
Figure 16. Logs show the list of folders to be skipped on wiping
Figure 16. Logs show the list of folders to be skipped on wiping

Após a conclusão, o ransomware gera um resumo abrangente mostrando o número total de arquivos criptografados e seu tamanho cumulativo. Como a versão Windows, ele aplica extensões aleatórias aos arquivos criptografados, mantendo a consistência no manuseio de arquivos pós-criptografia em todas as plataformas.

Figure 17. A summary shows the total of number of files and size encrypted
Figure 17. A summary shows the total of number of files and size encrypted
Figure 18. A list of files encrypted that have random extensions
Figure 18. A list of files encrypted that have random extensions

Análise do LockBit 5.0 para ESXi

Investigações adicionais revelaram uma variante dedicada do ESXi do LockBit 5.0, especificamente direcionada à infraestrutura de virtualização VMware. Esta variante representa uma escalada crítica nas capacidades do LockBit, já que servidores ESXi normalmente hospedam várias máquinas virtuais, permitindo que os atacantes criptografem ambientes virtualizados inteiros com uma única execução de carga útil.

A variante ESXi mantém a mesma estrutura de interface de linha de comando que suas contrapartes Windows e Linux, garantindo consistência operacional para atacantes em todas as plataformas. O menu de ajuda revela parâmetros específicos do ESXi otimizados para criptografia de máquinas virtuais, incluindo opções para direcionar diretórios específicos e arquivos de configuração de VM.

Figure 19. ESXi variant help command showing virtualization-specific parameters
Figure 19. ESXi variant help command showing virtualization-specific parameters

Esta variante ESXi demonstra o foco estratégico do LockBit em maximizar o impacto através da infraestrutura de virtualização, onde um único host ESXi comprometido pode resultar em dezenas ou centenas de máquinas virtuais criptografadas, amplificando significativamente o potencial de interrupção dos negócios do ataque.

LockBit 4.0 versus LockBit 5.0

Uma análise comparativa entre LockBit 4.0 e 5.0 revela reutilização significativa de código e desenvolvimento evolutivo em vez de uma reescrita completa. Ambas as versões compartilham algoritmos de hash idênticos para operações de string, um componente crítico para resolução de API e identificação de serviços. A estrutura de código para resolução dinâmica de API permanece notavelmente semelhante entre as versões, sugerindo que os desenvolvedores construíram sobre a base de código existente do LockBit 4.0. As capturas de tela à esquerda nas figuras 20 e 21 são do blog chuong dong.

Figure 20. Similarities of hashing algorithm of string of LockBit 4.0 (left – screenshot from chuong dong blog) and LockBit 5.0 (right)
Figure 20. Similarities of hashing algorithm of string of LockBit 4.0 (left – screenshot from chuong dong blog) and LockBit 5.0 (right)
Figure 21. Dynamic API resolution of LockBit 4.0(left – screenshot from blog) and LockBit 5 (right)
Figure 21. Dynamic API resolution of LockBit 4.0(left – screenshot from blog) and LockBit 5 (right)

A Pesquisa da Trend acredita que essas semelhanças são uma indicação clara de que o LockBit 5.0 representa uma continuação da família de ransomware LockBit e não é uma imitação ou rebranding por diferentes atores de ameaça. A preservação das funcionalidades principais enquanto adiciona novas técnicas de evasão demonstra a estratégia do grupo de melhoria incremental para sua plataforma de ransomware.

Conclusão

A existência de variantes para Windows, Linux e ESXi confirma a estratégia contínua de multiplataforma do LockBit. Isso permite ataques simultâneos em redes empresariais inteiras, desde estações de trabalho até servidores críticos que hospedam bancos de dados e plataformas de virtualização, com a variante ESXi projetada para incapacitar infraestruturas virtuais inteiras. A forte ofuscação nessas novas variantes atrasa significativamente o desenvolvimento de assinaturas de detecção, enquanto melhorias técnicas, incluindo marcadores de infecção removidos, criptografia mais rápida e evasão aprimorada tornam o LockBit 5.0 significativamente mais perigoso do que seus predecessores.

O LockBit está entre os grupos de ransomware como serviço (RaaS) mais notórios que consistentemente se mantiveram à frente de seus concorrentes com uma evolução agressiva de suas técnicas e táticas. Apesar da Operação Cronos, os criminosos por trás do grupo exibem resiliência com todas as três variantes da versão 5.0 agora confirmadas. As organizações devem garantir defesas abrangentes de multiplataforma, com atenção especial à proteção da infraestrutura de virtualização. As variantes Windows, Linux e ESXi do LockBit 5.0 reforçam que nenhum sistema operacional ou plataforma pode ser considerado seguro contra campanhas modernas de ransomware.

Mitigando o risco do LockBit 5.0

As organizações são altamente encorajadas a avaliar e aprimorar sua postura de segurança conduzindo proativamente atividades de caça a ameaças adaptadas às ferramentas, táticas e procedimentos específicos do grupo. É essencial reforçar tanto as proteções de endpoint quanto de rede, bem como a detecção precoce de técnicas de evasão de defesa destinadas a comprometer soluções de segurança.

Segurança proativa com TrendAI Vision One™

TrendAI Vision One️™ é a única plataforma de cibersegurança empresarial alimentada por IA que centraliza a gestão de exposição ao risco cibernético, operações de segurança e proteção robusta em camadas. Esta abordagem holística ajuda as empresas a prever e prevenir ameaças, acelerando resultados de segurança proativa em seu respectivo patrimônio digital. Com o Trend Vision One, você está habilitado a eliminar pontos cegos de segurança, focar no que mais importa e elevar a segurança a um parceiro estratégico para inovação.

Inteligência de Ameaças do TrendAI Vision One™

Para se manter à frente das ameaças em evolução, os clientes da Trend podem acessar TrendAI Vision One™ Threat Insights, que fornece as últimas informações da Pesquisa da Trend sobre ameaças emergentes e atores de ameaça.

Trend Vision One Threat Insights

Relatórios de Inteligência do Trend Vision One (Varredura de IOC)

LockBit Ataca Novamente: Atualizações na Versão 5.0

Consultas de Caça

Aplicativo de Pesquisa do Trend Vision One

Os clientes do Trend Vision One podem usar o Aplicativo de Pesquisa para corresponder ou caçar os indicadores maliciosos mencionados neste post do blog com dados em seu ambiente.

Renomeação de Arquivo LockBit com Extensão de 16 Caracteres

eventSubId: 106 AND objectFilePath: /\.[a-f0-9]{16}$/ AND NOT srcFilePath: /.+\.[a-f0-9]{16}$/

Nota de Resgate LockBit 5 — ReadMeForDecrypt.txt

eventSubId: 101 AND objectFilePath: ReadMeForDecrypt.txt

Mais consultas de caça estão disponíveis para clientes do Trend Vision One com Direito de Insights de Ameaças habilitado.

Indicadores de Comprometimento

Indicadores de comprometimento podem ser encontrados aqui.