Pesquisadores obtiveram material vazado e amostras que descrevem o que está sendo chamado de LockBit 5.0 — uma atualização do ransomware que inclui novos painéis de afiliados e variantes focadas em múltiplas plataformas. As informações foram publicadas em um relatório por analistas citados pelo veículo Cyber Security News.
Descoberta e escopo
Segundo o levantamento, a amostra de LockBit 5.0 inclui ao menos quatro variantes identificadas em 14 de janeiro de 2026: LB_Black (Windows), LB_Linux (Linux), LB_ESXi (infraestrutura virtual) e LB_ChuongDong. Além das amostras de malware, pesquisadores obtiveram capturas de tela e materiais do painel de afiliados que mostram mudanças na interface e práticas operacionais do grupo.
O que mudou agora
- Expansão de escopo: a presença de variantes para ESXi e Linux indica foco explícito em ambientes corporativos, hypervisors e infraestrutura virtualizada.
- Painel de afiliados: materiais vazados revelam fluxos de pagamento, regras de parceria e como o grupo gerencia negociações com vítimas.
- Aspecto operacional: apesar de ações policiais anteriores (citadas no material como “Operation Cronos”), o grupo continua recrutando afiliados, ainda que com reputação danificada, segundo os analistas.
Vetor e evidências
O relatório não fornece uma lista completa de vetores de intrusão ou indicadores de comprometimento no corpo da matéria resumida; os pesquisadores disponibilizaram amostras e configurações que podem ser usadas por equipes de defesa para criar regras de detecção. A publicação atribui a análise a especialistas da Flare e a outros pesquisadores que examinaram as amostras e os leaks.
Impacto e implicações
Os pontos trazidos pelo material sugerem impacto relevante para organizações que utilizam virtualização em larga escala — especialmente datacenters e provedores de nuvem privados que mantêm VMs ESXi — além de ambientes Linux empresariais. A disponibilidade de painéis e amostras facilita a geração de indicadores úteis, mas também aumenta o risco de reaproveitamento por outros grupos.
O que falta e recomendações
O texto-fonte não divulga métricas sobre vítimas, países afetados ou grupos específicos que já estariam explorando ativamente as variantes. Não há confirmação pública de exploração em larga escala — a notícia destaca a obtenção de amostras e o vazamento do painel.
Defensores devem priorizar:
- detecção de indicadores relacionados a LB_ESXi e comportamentos anômalos em hypervisors;
- inspeção de backups e isolamento de controladores de virtualização;
- uso das amostras publicadas para criar detecções de endpoint e de rede.
Repercussão
O principal valor do vazamento é oferecer às equipes de defesa material técnico atual para gerar assinaturas e IOCs. Por outro lado, a exposição das operações internas do grupo pode acelerar a replicação e a adaptação por afiliados e imitadores.
Fonte: Cyber Security News (reportagem baseada em análises de Flare e pesquisadores citados pela publicação).