LockBit 3.0 é o ransomware mais distribuído do mundo em número de vítimas confirmadas. Além disso, o grupo desenvolveu o malware especificamente para maximizar o dano antes que qualquer equipe de TI consiga reagir. Por isso, entender a sequência exata de ações que o LockBit executa nos primeiros 30 minutos define a diferença entre recuperar os dados e pagar o resgate sem nenhuma garantia.
O que o LockBit faz antes de cifrar
A maioria das equipes de TI não sabe que o LockBit não começa a cifrar imediatamente após a execução. Além disso, a fase de preparação que antecede a cifragem é tão destrutiva quanto ela — porque é nessa janela que o malware elimina todas as opções de recuperação convencional.
Minuto 1-5 — Reconhecimento e escalada de privilégios: O LockBit mapeia a rede imediatamente após a execução e identifica controladores de domínio, servidores de backup e compartilhamentos SMB. Além disso, o malware tenta escalar privilégios via Pass-the-Hash e exploração de tokens de sessão. Por isso, contas de administrador sem MFA sucumbem em minutos.
Minuto 5-10 — Desativação de defesas: O LockBit 3.0 usa o driver malicioso POORTRY para desabilitar antivírus e EDRs em nível de kernel. Portanto, mesmo soluções corporativas robustas caem antes da cifragem começar. Além disso, o malware desabilita o Windows Defender via registro e modifica políticas de grupo para impedir a reinstalação.
Minuto 10-15 — Destruição de backups: Esta é a fase mais crítica. O LockBit executa vssadmin delete shadows /all /quiet para apagar todas as Shadow Copies. Além disso, o malware encerra serviços de backup como Veeam, Windows Server Backup e agentes de backup em nuvem antes de qualquer operação completar. Por isso, backups locais e snapshots de VM desaparecem antes da cifragem começar.
Minuto 15-25 — Propagação e cifragem: Com privilégios elevados e defesas desativadas, o LockBit se propaga via SMB para outros servidores. Além disso, a cifragem usa AES-256 para os dados e RSA-2048 para proteger a chave — tornando a descriptografia sem a chave matematicamente inviável. Por isso, servidores com muitos arquivos pequenos ficam totalmente cifrados nessa janela.
Minuto 25-30 — Exfiltração e nota de resgate: O LockBit frequentemente exfiltra dados antes de cifrar — especialmente em ataques direcionados. Portanto, o ataque cria duas camadas de extorsão: pague pelo descritor ou os dados vazam publicamente. Além disso, o malware deposita a nota de resgate em cada pasta do servidor.
Por que pagar não resolve
O LockBit 3.0 tem histórico documentado de não entregar chaves funcionais após o pagamento. Além disso, o pagamento financia a operação criminosa e coloca a empresa na lista de alvos que pagam — aumentando a probabilidade de novos ataques. Portanto, a Crowdertech nunca recomenda o pagamento de resgate em nenhuma hipótese.
Por que a recuperação forense funciona
O LockBit 3.0 adota cifragem parcial em arquivos grandes para ganhar velocidade. Por isso, arquivos de banco de dados SQL Server, VMDKs e arquivos de backup frequentemente têm apenas os primeiros blocos cifrados. Portanto, a forense extrai os dados das áreas preservadas nos blocos físicos sem depender da chave do atacante.
Além disso, a cifragem age na camada lógica — depois que o RAID e o sistema de arquivos já montaram o volume. Consequentemente, os dados existem nos blocos físicos dos discos mesmo após a cifragem, e a recuperação forense acessa esses blocos diretamente.
O protocolo correto de resposta
Ações imediatas — primeiros 5 minutos:
- Isole todos os servidores afetados da rede — fisicamente, se necessário
- Não desligue abruptamente — o estado da memória pode conter a chave de sessão
- Não tente reiniciar o servidor para limpar o malware
- Não execute nenhum antivírus ou ferramenta de remoção sobre o ambiente infectado
- Acione especialistas de recuperação antes de qualquer outra ação
O que nunca fazer: Formatar e reinstalar destrói os dados que ainda existem nos blocos físicos. Além disso, tentar decriptar com ferramentas genéricas pode corromper os blocos preservados. Portanto, preservar o ambiente é a ação mais valiosa das primeiras horas.
Perguntas frequentes sobre LockBit 3.0
O LockBit 3.0 cifra também os backups em nuvem? Backups sincronizados em tempo real — como OneDrive e Google Drive sem versioning — são cifrados junto com os arquivos originais. Contudo, backups com imutabilidade ativada e Object Lock sobrevivem ao ataque. Portanto, a política de backup define o que resta após a infecção.
Servidor Windows com LockBit ainda ativo na memória — o que fazer? Não desligue abruptamente. Além disso, em alguns casos a chave de sessão ainda está na RAM e uma forense de memória consegue extraí-la antes do desligamento. Portanto, acione especialistas antes de desligar qualquer servidor.
O LockBit cifrou apenas parte dos arquivos — por que? O LockBit 3.0 adota cifragem parcial em arquivos grandes. Por isso, bancos de dados e VMDKs frequentemente têm apenas os primeiros blocos cifrados. Portanto, esse padrão viabiliza a recuperação forense sem a chave.
Conclusão
O LockBit 3.0 é sofisticado, mas a recuperação forense funciona justamente porque o malware prioriza velocidade sobre completude na cifragem. Além disso, cada minuto sem intervenção errada aumenta as chances de recuperação total. Em resumo, isole, preserve e acione especialistas imediatamente. A Crowdertech recupera sem pagar resgate — (11) 99630-0675. Veja também recuperação de ransomware e recuperação de banco de dados.
Fontes: CISA StopRansomware LockBit · CERT.br.