Взломать вымогателей: как хакнули группировку Lockbit и слили 60 000 адресов

Хакеры стали настолько могущественной силой в криптосообестве, что теперь сами являются целью для разного рода взломщиков. Участь жертвы не обошла и известную в узких кругах группировку вымогателей Lockbit. GetBlock AML Research публикует детали одной из самых масштабных утечек об этой группе за всю историю ее существования.

Детали инцидента

7 мая сайт Lockbit в даркнете (onion сети) прекратил работу и начал отображать странное сообщение: “Не совершайте преступления. Преступления — это плохо”. Автор месседжа подписался как “хохо из Праги”. Также он выложил в свободный доступ базу данных сайта Lockbit.

Сообщение от взломщика на сайте Lockbit

Помимо 60 000 биткоин-адресов были слиты учетные записи партнеров Lockbit, переписки с жертвами и другая конфиденциальная информация.

Что нужно знать о Lockbit

LockBit — обширная сеть разработчиков, которые создают программное обеспечение для шифрования данных и последующего вымогательства. Группировка работает по модели Ransomware-as-a-Service (RaaS). Она предоставляет доступ к своим разработкам партнерам, которые выполняют работы по внедрению и заражению пользовательских устройств. Полученные в результате вымогательства средства делятся между разработчиками и партнерами в соотношении 70%/30%.

Наиболее масштабные атаки LockBit:

• В 2022 году компрометации подверглась база данных Налоговой службы Италии, данные о миллионах жителей страны и их налогах были зашифрованы;
• Шифрованию также подверглась детская больница SickKids в Канаде. Позже злоумышленники извинились и бесплатно предоставили ПО для расшифровки данных;
• Влиянию Lockbit за последние несколько лет подверглись более 1000 компаний по всему миру.

Несмотря на высокий уровень конспирации, в 2024 году несколько членов Lockbit были задержаны в результате операции “Кронос” (совместной работе Национального агентства по борьбе с преступностью Великобритании, ФБР, Европола и Интерпола). Остальные члены Lockbit продолжили незаконную деятельность.

Новые данные

В базе данных, которую слил загадочный мститель из Праги, содержатся данные о 75 партнерах Lockbit, которые совместно с разработчиками вели незаконную деятельность и вымогали средства у жертв шифровальщиков.

Учетные записи партнеров Lockbit

Из 60 000 биткоин-адресов Lockbit, которые оказались в открытом доступе, большая часть еще не были использована злоумышленниками. На текущем этапе наша команда занимается анализом ончейн-сети Lockbit. Первые исследования показывают, что сеть Lockbit содержит значительно больше адресов.

Часть из слитых биткоин-адресов Lockbit

Полная база адресов Lockbit

Реакция Lockbit

Группа вымогателей не оценила перфоманс своего коллеги из Праги. Lockbit опубликовали обращение к партнерам (на русском языке), в котором сообщили, что готовы заплатить за информацию о своем взломщике. Также в Lockbit сообщили, что были скомпрометированы только сайт и его база данных, декрипторы (используемые для дешифровки данных) и данные атакованных компаний не пострадали. Lockbit пообещали восстановить работу в ближайшее время.

Обращение Lockbit по поводу взлома