Правоохранителните органи арестуваха двама оператори на бандата за откупи LockBit в Полша и Украйна, създадоха инструмент за декриптиране за безплатно възстановяване на криптирани файлове и конфискуваха над 200 криптопортфейла, след като хакнаха сървърите на бандата за киберпрестъпления в рамките на международна операция за разбиване.
Френските и американските съдебни органи също така издадоха три международни заповеди за арест и пет обвинителни акта, насочени срещу други членове на LockBit.
Министерството на правосъдието на САЩ повдигна две от обвиненията срещу двама руски граждани – Артур Сунгатов и Иван Генадиевич Кондратиев (известен още като Bassterlord) – за участието им в атаки с LockBit.
Сред предишните обвинения срещу участници в атаки за откуп за Lockbit са Михаил Василиев (ноември 2022 г.), Руслан Магомедович Астамиров (юни 2023 г.) и Михаил Павлович Матвеев, известен още като Wazawaka (май 2023 г.).
Сунгатов и Кондратиев също бяха санкционирани днес от Службата за контрол на чуждестранните активи към Министерството на финансите на САЩ.
Операция „Кронос
Глобалната репресия срещу LockBit беше координирана от операция „Кронос“ – работна група, ръководена от Националната агенция за борба с престъпността на Обединеното кралство (NCA) и координирана в Европа от Европол и Евроюст. Разследването започна през април 2022 г. в Евроюст след искане от френските власти.
„Продължилата месеци операция доведе до компрометирането на основната платформа на LockBit и на друга критична инфраструктура, която даваше възможност за тяхното престъпно начинание“, заяви днес Европол.
„Това включва свалянето на 34 сървъра в Нидерландия, Германия, Финландия, Франция, Швейцария, Австралия, Съединените щати и Обединеното кралство.
„Тази инфраструктура вече е под контрола на правоприлагащите органи, а повече от 14 000 нелоялни акаунта, отговорни за ексфилтрацията или инфраструктурата, са идентифицирани и предадени за премахване от правоприлагащите органи.“
Европолсъобщи, че тези нелоялни акаунти са били използвани от членовете на LockBit за хостване на инструменти и софтуер, използвани при атаки, и за съхраняване на данни, откраднати от компании.
Като част от операция „Кронос“ правоприлагащите органи са извлекли и над 1000 ключа за декриптиране от иззетите сървъри на LockBit. Като използваха тези ключове за декриптиране, японската полиция, NCA и Федералното бюро за разследване (ФБР) разработиха с подкрепата на Европол инструмент за декриптиране на LockBit 3.0 Black Ransomware.
Този безплатен декриптиращ инструмент вече е достъпен чрез портала „No More Ransom“.
Към момента не е известно колко криптовалута е била съхранявана в 200-те конфискувани портфейла. Възможно е обаче жертвите, които са платили искания откуп, да могат да възстановят част от плащанията си сега, както преди това ФБР направи за Colonial Pipeline и различни здравни организации.
От Европол твърдят, че са събрали „огромно количество“ данни за операцията на LockBit, които ще бъдат използвани в продължаващите операции, насочени към лидерите на групата, както и към нейните разработчици и филиали.
Иззета инфраструктура на LockBit
В рамките на съвместната акция NCA пое контрола над сървърите на LockBit, използвани за хостване на данни, откраднати от мрежите на жертвите при двойни изнудвачески атаки, и над сайтовете на бандата за изтичане на данни в тъмната мрежа.
Вчера тъмните уебсайтове на LockBit бяха свалени, като на тях бяха показани банери за конфискация, които разкриваха, че прекъсването е резултат от продължаваща международна правоприлагаща акция.Панелът на партньорите на групата за рансъмуер също е бил иззет от полицията, като сега показва съобщение на партньорите след влизане в системата, че тяхната информация, изходният код на LockBit, чатовете и информацията за жертвите също са били иззети.
„Разполагаме с изходен код, подробности за жертвите, които сте атакували, сумата на изнудваните пари, откраднатите данни, чатове и много, много повече“, гласи съобщението.
„Възможно е съвсем скоро да се свържем с вас. Желая ви приятен ден. С уважение, Национална агенция за борба с престъпността на Обединеното кралство, ФБР, Европол и Оперативната група за правоприлагане „Кронос“.“
Кой е LockBit?
Операцията LockBit ransomware-as-a-service (RaaS) се появи през септември 2019 г. и оттогава е свързана с или е заявявала атаки срещу много високопоставени организации по целия свят, включително Boeing, британската Кралска поща, автомобилния гигант Continental и италианската Служба за вътрешни приходи.
В съвместна консултация, публикувана през юни, американските органи за киберсигурност и партньорите им по света изчислиха, че LockBit е извлякъл поне 91 млн. долара от американски организации след цели 1700 атаки от 2020 г. насам.
Днес Министерството на правосъдието на САЩ заяви, че бандата е имала над 2000 жертви и е събрала над 120 млн. долара под формата на откупи след искания на обща стойност стотици милиони долари.
Съвсем наскоро Bank of America предупреди клиентите си за нарушение на сигурността на данните, след като доставчикът на услуги от трета страна Infosys McCamish Systems (IMS) беше хакнат при атака, за която се твърди, че е дело на LockBit.
През последните години международните операции на правоприлагащите органи доведоха и до изземването на сървъри и тъмни уебсайтове, използвани от рансъмуерите ALPHV (BlackCat) и Hive.
