黑客组织 - LockBit：勒索软件即服务的"工业帝国"兴衰史

一个把勒索软件做成”特许经营加盟店”的犯罪集团——有客服、有分成、有联盟、有品牌营销。
从巅峰期”每 11 秒一次攻击”到被跨国执法”摘牌”，LockBit 的兴衰，就是 RaaS 商业模式本身的一曲缩影。

引言：勒索软件的”麦当劳化”

大多数勒索软件团伙是”黑帮”——几个核心成员、一套勒索工具、暗网上的一个泄密站。但 LockBit 不一样，它把勒索软件做成了一家**”企业”**。

它有品牌名、有加盟商体系、有客服支持、有业绩分成、有暗网”公关”，甚至一度在暗网论坛上公开招募”合作伙伴”，承诺提供全套工具和”技术支持”。安全界因此称它是勒索软件生态里最”产业化“的存在。

一句话定义它：

LockBit = 勒索软件即服务（RaaS）的终极形态——把”勒索”拆成可外包、可加盟、可复制的流水线生意。

一、组织概况

属性	信息
名称	LockBit（LockBit 2.0、LockBit 3.0 为其迭代版本）
别名	ABCD Ransomware（早期名称）、LockBit Black（3.0 版别称）
首次出现	2019 年 9 月（LockBit 1.0）
归属	据信为俄语背景犯罪集团，具体头目存在争议
运作模式	勒索软件即服务（RaaS）——核心团队开发工具，加盟商（Affiliate）实施攻击
巅峰战绩	一度成为全球最活跃的勒索软件，单日攻击量惊人，受害者累计数千家
主要目标	全球各类企业、医疗机构、政府、关键基础设施
结局	2024 年 2 月被”克罗诺斯行动”（Operation Cronos）跨国执法重创，但残余变种仍在活动

二、什么是 RaaS？——理解 LockBit 的钥匙

要理解 LockBit，必须先理解 勒索软件即服务（Ransomware-as-a-Service, RaaS） 这个商业模式。

2.1 RaaS 的”加盟”结构

RaaS 把勒索攻击拆成了**”开发”和”执行”**两个可以分离的环节：

┌─────────────────────────────────────────────┐
│              RaaS 商业模式                   │
├────────────────────┬────────────────────────┤
│   核心团队（开发商） │   加盟商（Affiliate）   │
├────────────────────┼────────────────────────┤
│ 开发/维护勒索软件   │ 寻找目标、渗透入侵       │
│ 提供暗网基础设施    │ 部署勒索软件            │
│ 提供"客服"与谈判   │ 负责与受害者谈判         │
│ 提供分成结算      │ 分得大部分赎金           │
└────────────────────┴────────────────────────┘
        收益按比例分成（如 20/80 或 30/70）

核心逻辑：开发商不亲自攻击，而是把工具租给”加盟商”，从赎金中抽成。这样：

开发商可以规模化——一个工具供无数加盟商使用；
加盟商可以低门槛——无需自己会写勒索软件，只要会渗透即可”接单”。

2.2 RaaS 与合法 SaaS 的惊人相似

LockBit 的运营方式，和一家正规 SaaS 公司几乎一模一样：

维度	合法 SaaS 公司	LockBit
产品	软件订阅	勒索软件工具包
客户	企业用户	加盟商（Affiliate）
销售	官网、销售团队	暗网论坛招募
售后	客服、工单	暗网”技术支持”
分成	订阅费/抽成	赎金抽成
品牌	Logo、官网、宣传	暗网泄密站、品牌话术

这正是 LockBit 可怕的地方——它把犯罪行为公司化、标准化、品牌化，让勒索攻击的门槛降到了”会渗透就能干”。

三、LockBit 三代进化：从”能跑”到”工业级”

3.1 LockBit 1.0（2019）——起点

早期名为 ABCD Ransomware，后更名 LockBit。
特点：加密速度极快（自称”全球最快的勒索软件”），用部分加密（只加密文件头部）换取速度。
勒索方式：传统”加密 + 赎金”，尚无成熟的泄密站与加盟体系。

3.2 LockBit 2.0（2021）——品牌化

推出暗网泄密站（Leak Site），公开羞辱拒不付款的受害者，倒逼其交赎金。
建立加盟商招募机制，在暗网论坛公开”招兵买马”。
首次采用双重勒索：加密文件 + 威胁泄露数据。
开始出现”LockBit”的品牌标识和统一话术。

3.3 LockBit 3.0（2022）——工业帝国

技术全面升级，代码更模块化、更隐蔽。
引入 StealBit 数据窃取工具，在加密前先窃取数据，强化”双重勒索”筹码。
三重勒索成型：加密 + 泄露 + DDoS。
攻击规模达到顶峰，一度占全球勒索攻击的相当大比例，安全界称其”每 11 秒就有一台设备被攻击“（峰值统计口径）。

从 1.0 到 3.0，LockBit 的进化本质是从”一个勒索工具”变成”一套勒索产业基础设施”。

四、代码级攻击链：LockBit 从入侵到勒索的完整路径

LockBit 的攻击高度依赖加盟商执行，但核心的”勒索载荷”和”泄密平台”由核心团队提供。我们从技术层面还原一条典型链路。

4.1 第一步：初始入侵（加盟商负责）

加盟商通过多种手段获得目标网络入口：

# 常见的初始入口手段（加盟商采用，非 LockBit 核心工具）
# 1. 扫描暴露的 RDP（远程桌面）
nmap -p 3389 --script rdp-vuln-ms12-020 <target_range>

# 2. 暴力破解 RDP / 弱口令
hydra -L user.txt -P pass.txt rdp://<target>

# 3. 利用已知漏洞（如 VPN、邮件网关、未打补丁的公开服务）
searchsploit <target_software_version>

LockBit 的加盟商并非都用”高端 0day”——大量攻击的起点只是暴露的 RDP + 弱口令。这也解释了为何它攻击面如此之广。

4.2 第二步：横向移动与提权

渗透进内网后，加盟商会进行横向移动，搜集高价值目标：

# 常见的内网渗透手法（概念示例）
# 窃取凭据（Mimikatz）
mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords" exit

# 枚举域内主机
net group "Domain Computers" /domain

# 横向移动（PsExec / WMI）
psexec \\target -u domain\user -p password cmd.exe

4.3 第三步：部署 LockBit 勒索载荷

锁定高价值目标后，部署 LockBit 核心勒索软件。LockBit 的技术特点是”快”和”隐蔽”：

// 概念示例：LockBit 的加密逻辑（脱敏还原，仅供安全教育）
// LockBit 采用"部分加密"策略——只加密文件的关键部分，换取极致速度
void encrypt_file(const char *path, uint8_t *key) {
    // 1. 打开目标文件
    FILE *f = fopen(path, "r+b");

    // 2. 只加密文件头部 + 尾部（而非整个文件）
    //    这是 LockBit "快"的核心——加密越少，耗时越短
    encrypt_header(f, key);   // 加密前 N KB
    encrypt_footer(f, key);   // 加密后 M KB

    // 3. 追加勒索信息
    append_ransom_note(f, "README.txt");

    // 4. 修改文件扩展名（如 .lockbit）
    rename(path, add_extension(path, ".lockbit"));
}

LockBit 的三大技术特征：

特征	说明
部分加密	只加密文件关键部分，加密速度极快，降低被发现概率
Salsa20/AES	用对称加密算法加密文件，速度快；对称密钥再用 RSA 保护
自带数据窃取	3.0 引入 StealBit，加密前先上传数据到攻击者服务器

4.4 第四步：双重勒索与”客服”谈判

加密完成后，进入勒索环节：

受害者系统被加密，文件带 .lockbit 扩展名
        ↓
弹窗/README 告知访问暗网泄密站，输入赎金 ID
        ↓
暗网泄密站显示倒计时 + 已窃取的数据预览
        ↓
受害者通过"客服"在线谈判赎金金额
        ↓
支付赎金（比特币/门罗币）→ 获得解密器
        ↓
拒不支付 → 数据被公开到泄密站

LockBit 的”客服体系”是其”企业化”的又一体现——受害者甚至能在暗网平台上与”客服”讨价还价，就像和电商客服沟通一样。这种”专业服务”反而让勒索过程更加”顺畅”，提高了付款率。

五、标志性事件：从巅峰到”摘牌”

5.1 巅峰期：全球最活跃的勒索软件

2022-2023 年，LockBit 达到巅峰：

被归因为全球攻击量最大的勒索软件组织之一。
受害者遍布医疗、制造、政府、教育、金融等行业。
曾攻击英国皇家邮政（Royal Mail）导致国际包裹严重延误、多家医院、以及多国关键基础设施。

5.2 内部分赃：Conti 泄露的”加盟商经济”真相

虽然 Conti 与 LockBit 是不同组织，但 Conti 源代码的泄露（2022 年，据称由一名不满分成的内部成员泄出）第一次让外界看清了 RaaS 团伙的内部分账细节：

- 加盟商通常分得赎金的 70%–80%
- 核心团队抽成 20%–30%
- 核心团队还通过"泄密站""客服""解密器"等增值服务收费
- 加盟商之间、加盟商与核心之间，因分成不均而内讧频繁

Conti 的泄露印证了一个规律：RaaS 团伙的”企业化”也带来了”企业的通病”——利益分配纠纷、内部背叛、员工泄愤。 这正是勒索软件帝国最致命的软肋。

5.3 克罗诺斯行动（Operation Cronos）：跨国”摘牌”

2024 年 2 月，一场由美国、英国、欧盟多国执法机构联合发起的”克罗诺斯行动”（Operation Cronos）重创了 LockBit：

查封了 LockBit 的暗网泄密站与基础设施。
夺取控制权：执法机构接管了其网站，并用它公布 LockBit 的内部数据、解密器、甚至”羞辱”其成员——以彼之道还施彼身。
逮捕多名相关嫌疑人，冻结加密货币资产。
释放免费解密工具，帮助数千名受害者恢复文件。

讽刺的是：执法机构甚至沿用了 LockBit 自己的”泄密站”风格，公开曝光其运营细节——勒索者反被”勒索”。

5.4 残余与变种：帝国崩塌后的余波

尽管”克罗诺斯行动”重创了 LockBit 3.0，但：

部分加盟商和变种仍在活动。
LockBit 的勒索软件代码已在暗网流通，催生了新的模仿者。
安全界警惕：RaaS 模式不会因一个组织的衰落而消失，下一个”LockBit”可能已在孵化。

六、勒索软件”三巨头”对比

至此，本站已覆盖三大勒索软件组织的兴衰，可作横向对比：

维度	DarkSide → BlackCat	LockBit	（REvil 待补）
活跃期	2020-2024	2019-2024	2019-2022
技术语言	C/C++ → Rust	C（速度优先）	C++
招牌手法	双重/三重勒索、股票做空	部分加密、StealBit 窃取	双重勒索、供应链
运营模式	RaaS	RaaS（最”企业化”）	RaaS
标志事件	Colonial Pipeline、MGM/Caesars	全球数千受害者、皇家邮政	JBS、Kaseya 供应链
结局	“解散”→更名→消失	被”克罗诺斯行动”重创	服务器被查封、成员被捕

三者共同揭示了一个趋势：勒索软件已经从”单打独斗”进化为”产业化、联盟化、品牌化”的全球性地下经济。 打击单个团伙只是”打地鼠”，RaaS 生态本身才是更难根除的问题。

七、启示：如何应对”工业化的勒索”？

对机构

备份是最后的、也是最有效的防线：勒索软件的命门是”你没有备份”。离线备份 + 不可变备份 + 3-2-1 策略，是抵御一切勒索的底线。
堵住 RDP 和弱口令：LockBit 加盟商大量利用暴露的 RDP + 弱口令入侵。关闭公网 RDP、启用 MFA、强密码策略是最低成本的高回报防御。
及时打补丁：LockBit 常利用已知漏洞（VPN、网关、公开服务），补丁管理必须严格。
零信任 + 最小权限：限制横向移动，让加盟商即便进入内网也难以触达核心数据。
勒索响应预案：预先制定”是否支付、如何隔离、如何恢复、如何通报”的完整预案，而不是临场慌乱。

对个人

使用强密码 + 密码管理器 + MFA，杜绝弱口令。
重要数据本地 + 云端双重备份，云端也需防”被同步加密”。
警惕钓鱼邮件和来路不明的附件。

7.5 LockBit 典型 IOC（失陷指标）清单

以下为安全厂商公开披露的 LockBit 活动关联的样例型 IOC（脱敏示例，仅供检测参考）：

恶意文件哈希（SHA-256，脱敏示例）：

样本	类型	说明
`5e6f7a...（示例）`	LockBit 3.0 载荷	勒索主体（.exe / .dll）
`8b9c0d...（示例）`	StealBit	数据窃取工具
`2e3f4a...（示例）`	勒索笔记	README/恢复说明文件

关联特征（域名/扩展名/行为）：

- 加密扩展名：.lockbit（3.0 亦见 .lockbit 变体、.abcd 早期）
- 勒索笔记：恢复说明文件（Restore-My-Files.txt 等）
- C2 域名：暗网泄密站及附属基础设施（执法查封后已失效）
- 行为：批量加密 + 删除卷影副本（vssadmin delete shadows）

网络/主机层检测要点：

检测维度	关注点
文件层	大量文件扩展名突变为 .lockbit、勒索笔记文件出现
主机层	`vssadmin delete shadows` / `bcdedit` 禁用恢复、卷影副本被删
网络层	异常外联 C2、StealBit 批量数据上传（大流量出站）
账号层	异常登录、RDP 暴力破解痕迹（大量 4625 登录失败）

一个实用的检测命令（Windows 侧，排查勒索前兆）：

# 检测大量登录失败（RDP 暴力破解前兆，事件 ID 4625）
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} |
  Group-Object -Property @{e={$_.Properties[5].Value}} |
  Sort-Object Count -Descending | Select-Object -First 10 Count, Name

# 检查卷影副本是否被删除（勒索软件常见前置动作）
vssadmin list shadows

其中 vssadmin delete shadows 是勒索软件的”招牌动作”——它在加密前删除 Windows 卷影副本，让受害者无法用系统还原恢复文件。监控这一命令的执行，是发现勒索攻击的关键前兆信号。

八、结语：一场永不停歇的”打地鼠”

LockBit 的兴衰，是勒索软件经济的一个缩影：

它的崛起证明了——犯罪一旦”企业化”，其破坏力就会指数级放大；而它的衰落也证明了——再严密的犯罪帝国，也会因内部的利益纠纷和外部的联合打击而崩塌。

但故事远未结束。LockBit 倒下了，它的代码、加盟商、商业模式仍在暗网流转。只要 RaaS 的”土壤”还在，下一个”工业帝国”就随时可能崛起。

网络安全的本质，从来不是”打赢一场战争”，而是”守住每一道随时可能被攻破的防线”。

检测建议：与本站技术系列的联动

本文涉及的勒索与检测技术，本站已有对应的深度内容，可配合阅读：

本文技术点	延伸阅读
勒索软件三巨头	《DarkSide → BlackCat：从输油管道到赌场》
免杀与载荷投递	免杀技术系列（Base64/ROT13/反沙箱/MSF）
无文件后门、内存驻留	《Mistic 后门 BOF 动态扩展》
黑客组织 APT 分析	Lazarus / Charming Kitten / APT41 系列
黑灰产产业链	《裸聊诈骗团伙的完整组织架构与资金链路》

LockBit 的”RaaS 加盟 + 部分加密 + 双重勒索”，与 Lazarus 的”金融掠夺”、APT41 的”供应链投毒”共同拼出了当代网络犯罪的完整版图——攻击者已经从”单点突破”走向”生态化运作”。理解这个生态，才能更好地守住自己的防线。

参考资料

英国国家打击犯罪局（NCA）/ FBI：Operation Cronos 相关公告
CISA / FBI：LockBit 相关联合警报（AA23-075A 等）
各安全厂商（Sophos、Trend Micro、Palo Alto 等）关于 LockBit 的技术分析
关于 Conti 源代码泄露、内部分成的公开报道

本文基于公开资料整理撰写，仅供网络安全研究与教育目的使用，不构成任何安全或法律建议。

本文是「勒索软件」系列的一员：

《黑客组织 - REvil：勒索软件”元老”的疯狂与覆灭》 —— 勒索软件即服务的另一巨头
《黑客组织 - FIN7 / Carbanak：披着”销售公司”外衣的金融犯罪机器》 —— 金融犯罪组织的运作方式
《黑客组织 - 散落蜘蛛：从赌场勒索到赫尔辛基机场逮捕》 —— 现代勒索集团的崛起样本
《黑客组织 - DarkSide》 —— 勒索攻击重创关键基础设施的经典案例