Gang ransomware LockBit zapowiada powrót w lutym 2025 r

Pomimo tego, iż został pokonany i upokorzony przez koordynowaną przez Narodową Agencję ds. Przestępczości (NCA). Operacja Cronos w lutym 2024 rnieznana osoba(y) powiązana z gangiem ransomware LockBit lub twierdząca, iż ​​go reprezentuje, wyłamała się z przykrywki i ogłosiła zbliżające się wydanie nowego szkodliwego systemu do zamykania szafek, LockBit 4.0.

Na zrzutach ekranu pobranych z ciemnej sieci, które w zeszłym dniu szeroko rozpowszechniono w mediach społecznościowych, rzekomy cyberprzestępca zapraszał zainteresowane strony do „zarejestrowania się i rozpoczęcia z nami swojej podróży do miliardera w Penesterze w 5 minut”, obiecując im dostęp do supersamochodów i kobiety. W chwili pisania tego tekstu żaden z linków w poście nie prowadził donikąd, a licznik czasu wskazywał datę „uruchomienia” przypadającą na 3 lutego 2025 r.

Robert Fitzsimons, główny inżynier ds. analizy zagrożeń w firmie Cyberprzeszukiwaczstwierdził, iż trudno na tym etapie powiedzieć, co oznacza LockBit 4.0 – czy gang uruchomił nową witrynę z wyciekami, przejęto starą, czy też wprowadził zmiany w oprogramowaniu ransomware.

„Warto zaznaczyć, iż LockBit przeszedł już wiele iteracji, jego obecny branding to LockBit 3.0. Nie jest zatem zaskakujące, iż LockBit po raz kolejny aktualizuje i – biorąc pod uwagę szkody dla marki wyrządzone przez działania organów ścigania Operacja Cronos na początku tego roku – istnieje wyraźna motywacja dla LockBit do wprowadzenia zmian i ponownego ugruntowania swojej wiarygodności, mając na uwadze iż witryna LockBit 3.0 została przejęta i zniszczona przez organy ścigania” – powiedział Fitzsimons.

„Od czasu operacji Cronos nastąpił spadek liczby ofiar LockBit, ale ten post pokazuje, iż firma przez cały czas stara się przyciągnąć partnerów i kontynuować swoją działalność”.

Nagłe oświadczenie gangu następuje zaledwie kilka dni po ujawnieniu, iż rząd Stanów Zjednoczonych stara się o ekstradycję z Izraela rzekomego agenta LockBit nazwany Rotislav Panev stanąć przed sądem za oszustwa drogą elektroniczną i cyberprzestępczość.

Panev został aresztowany w sierpniu w Hajfie w Izraelu – – podaje izraelski serwis informacyjny Ynetktóry jako pierwszy zgłosił wniosek o ekstradycję, wiadomość o jego aresztowaniu była dotychczas ograniczona, aby uniknąć powiadomienia innych współpracowników LockBit, którzy mogą znajdować się poza Rosją, i dania im szansy na ucieczkę do względnego bezpieczeństwa, jakie im tam zapewniono.

Panev jest oskarżony o pracę jako programista dla LockBit i być może stworzył mechanizm, za pomocą którego gang mógł drukować notatki z żądaniem okupu na drukarkach podłączonych do zaatakowanych systemów. Prawnik Paneva powiedział Ynet, iż jest on technikiem komputerowym i nigdy nie był świadomy żadnych oszustw, wymuszeń ani prania brudnych pieniędzy ani nie był w nich zamieszany.

Według „Computer Weekly” rozprawa ekstradycyjna w tej sprawie planowana jest na styczeń 2025 r.

LockBit w dół, ale nie na zewnątrz?

Od rozpoczęcia operacji Cronos na początku 2024 r. adekwatny organ krajowy i inne agencje biorące udział w usunięciu przekazują kroplowo więcej informacji na temat niesławnej operacji cyberprzestępczej.

w maju NCA zdemaskowała swojego przywódcę, LockBitSuppawymieniając go jako obywatela Rosji Dmitrija Choroszewa i wymierzając w niego zamrożenie aktywów i zakaz podróżowania, co zbiega się z postawieniem aktu oskarżenia w USA, w ramach którego postawiono mu łącznie 26 zarzutów oszustwa, uszkodzenia chronionych komputerów i wymuszenia. Khoroshev pozostaje na wolności pomimo wielomilionowej nagrody, a LockBitSupp zaprzecza, jakoby to była ich prawdziwa tożsamość.

Jeszcze w tym samym roku krajowy organ ochrony konkurencji wskazał i zawstydził wpływowego członka LockBit, Aleksandra Ryżenkowa, znanego również jako Beverley, który był także kluczowym graczem w operacji Evil Corp i służył jako poplecznik jej przywódcy Maksima Yakubetsa.

Pomimo pozornego sukcesu operacji Cronos, najnowsza historia pokazała, iż ​​nawet jeżeli działania organów ścigania mogą skutecznie zakłócać ich działalność, cyberprzestępcy są niezwykle odporni i często są w stanie stosunkowo łatwo przeciwstawić się swoim operacjom.

Chociaż w tej chwili nie można ustalić, co faktycznie planuje osoba stojąca za ogłoszeniem LockBit, obrońcy powinni zachować czujność na możliwość ataku w nadchodzących tygodniach i, jeżeli to możliwe, podjąć odpowiednie środki zapobiegające oprogramowaniu ransomware.