LockBit 5

LockBit se originó en septiembre de 2019 como 'ABCD ransomware' (nombrado así por la extensión .abcd añadida a los archivos cifrados), antes de rebrandearse como 'LockBit' hacia finales de 2019/enero de 2020 y adoptar el modelo RaaS. Algunos proveedores de seguridad (atribución no consensuada) han especulado un posible vínculo o parentesco de código con las familias ya extintas GogaLocker/MegaCortex, sin evidencia pública concluyente.

LockBit operó históricamente como Ransomware-as-a-Service (RaaS): un núcleo de desarrolladores/operadores licenciaba el malware y la infraestructura (sitio de filtración, panel de afiliados, herramienta de exfiltración StealBit) a afiliados que ejecutaban las intrusiones a cambio de una mayoría de la ganancia del rescate. Con LockBit 3.0 'Black' (junio de 2022) lanzaron un programa público de 'bug bounty' sin precedentes en la dark web, ofreciendo entre 1.000 y 1 millón de dólares por reportar fallos en su sitio, en su cifrador/'locker', en su mensajería TOX, o por doxear al gestor del programa de afiliados; la comunidad de seguridad fue escéptica sobre su seriedad ('no hay honor entre operadores de ransomware'). Tras el takedown de 2024, LockBit 5.0 (2025) relanzó el reclutamiento de afiliados bajando el umbral de acceso a solo 500 dólares, señal de un esfuerzo por reconstruir rápidamente la red tras perder gran parte de su reputación y base de afiliados.

Línea temporal completa del linaje LockBit: (1) Septiembre 2019 — aparece como 'ABCD ransomware' (extensión .abcd). (2) Finales de 2019/enero de 2020 — se rebrandea como 'LockBit' (extensión .lockbit) y adopta el modelo RaaS (LockBit 1.0). (3) Junio de 2021 — lanzamiento de LockBit 2.0 ('Red'), que se convierte en una de las variantes de ransomware más desplegadas de 2021-2022 (hasta ~46% de las brechas por ransomware reportadas en 2022 según Unit 42/Palo Alto). (4) Junio de 2022 — lanzamiento de LockBit 3.0 ('Black'), con mejoras de evasión, cifrado más robusto y el programa de bug bounty. CISA/FBI documentaron a LockBit como el ransomware más desplegado globalmente en 2022 (advisory AA23-165A, junio 2023). (5) 19-20 de febrero de 2024 — Operación Cronos: acción conjunta internacional liderada por la NCA (Reino Unido) con el FBI, Europol y agencias de ~10 países, que incauta la infraestructura primaria de LockBit (sitio de filtración, panel de afiliados, StealBit), ~34 servidores, congela >200 cuentas cripto, cierra 14.000 cuentas de afiliados/usuarios 'rogue', detiene a 2 sospechosos (Polonia y Ucrania) y desvela 2 acusaciones formales en EE.UU. El grupo afirmó haber restaurado sistemas desde backups limpios días después, y nuevos cifradores/sitios de filtración reaparecieron en ~2 semanas, pero la NCA sostuvo que la operación 'permanece completamente comprometida'. (6) 7 de mayo de 2024 — EE.UU. (OFAC/Treasury, DOJ), Reino Unido y Australia identifican públicamente y sancionan al presunto administrador 'LockBitSupp'/'putinkrab', con una acusación formal de 26 cargos en Nueva Jersey y una recompensa de hasta 10 millones de dólares por información que lleve a su captura. (7) Octubre de 2024 — tercera fase de Operación Cronos: nuevos arrestos coordinados (incluido un presunto desarrollador detenido a petición de Francia, dos personas en el Reino Unido por dar soporte a un afiliado, y un administrador de hosting 'bulletproof' en España), más sanciones (incluida contra un afiliado prolífico) por EE.UU., Reino Unido y Australia. (8) Diciembre de 2024 — el grupo anuncia en su propio sitio de víctimas la existencia de 'LockBit 4.0' (variantes 'Green' y 'Black'); analistas señalan que la NCA ya tenía acceso al payload de 4.0 antes de su lanzamiento público. (9) Febrero de 2025 — aparece un temporizador de cuenta atrás apuntando al 3 de febrero de 2025 que no condujo a un lanzamiento verificable; se mantiene la incertidumbre sobre el estado operativo real del grupo. (10) Principios de septiembre de 2025 (coincidiendo con el 6º aniversario del grupo) — se anuncia públicamente 'LockBit 5.0' (nombre interno de código 'ChuongDong' según Check Point), construida sobre la base de código de la 4.0, con variantes funcionales para Windows, Linux y VMware ESXi, nuevas técnicas de evasión (DLL reflection, parcheo de EtwEventWrite para desactivar logging) y relanzamiento del programa de afiliados con umbral de entrada reducido. En diciembre de 2025 el grupo trasladó su sitio de filtración y había listado más de 100 presuntas víctimas desde el relanzamiento. Persiste un debate no resuelto en la comunidad de seguridad (Red Hot Cyber, SOCRadar, Trend Micro, Arete) sobre si LockBit 5.0 es: continuación genuina de un núcleo remanente del grupo original (hipótesis respaldada por solapamientos extensos de código entre 4.0 y 5.0 según Trend Micro y Arete), una reconstrucción con afiliados y operadores distintos aprovechando la marca tras el desmantelamiento de 2024, o incluso —hipótesis minoritaria y no confirmada— un señuelo vinculado a investigadores o fuerzas de seguridad. Ninguna de estas hipótesis está zanjada públicamente a la fecha de este dossier.

LockBit ha evolucionado técnicamente a través de sus versiones: cifrado ChaCha20/AES de todo el sistema, autopropagación vía SMB, movimiento lateral con PsExec y objetos de política de grupo (GPO), terminación de servicios, borrado de shadow copies y limpieza de logs antes del cifrado (fase de pre-cifrado consistente entre versiones). LockBit 3.0 introdujo mayor ofuscación y evasión de defensas. Debido al gran número de afiliados no relacionados entre sí que operan bajo el modelo RaaS, CISA señala que las TTPs varían significativamente entre intrusiones individuales. LockBit 5.0 (2025) representa el salto más grande en superficie de ataque: soporte multiplataforma simultáneo para Windows, Linux y VMware ESXi, ejecución de payload en memoria vía DLL reflection, y desactivación de telemetría de Windows parcheando la API EtwEventWrite — Trend Micro lo describe como una evolución directa (no un fork ni un rebrand de código) de LockBit 4.0, con reutilización extensa de algoritmos de hashing y otros componentes.