El grupo de ransomware LockBit, responsable de varios incidentes de seguridad importantes en los últimos años, ha sido «eliminado» tras una operación policial global encabezada por la Agencia Nacional contra el Crimen del Reino Unido (NCA). La acción se denomina Operación Cronos y reúne a organismos de aplicación de la ley de 11 países, incluidos Australia, Canadá, Suecia, Finlandia, Alemania, Países Bajos, Japón, Francia, Suiza, Reino Unido y Estados Unidos, bajo los auspicios de Europol.
Los detalles exactos sobre la operación son escasos hasta que se celebre una conferencia de prensa oficial el 20 de febrero. La NCA confirmó por correo electrónico haber llevado a cabo una «operación internacional significativa» contra el grupo. Según fuentes, las fuerzas del orden incautaron y/o eliminaron al menos 34 servidores Tor.
El grupo LockBit emitió un mensaje en Tox (en ruso): «El FBI nos jodió los servidores que usan PHP, los servidores de respaldo sin PHP no se tocaron». Un aviso publicado en el sitio de filtración del grupo indica que «este sitio ahora está bajo el control de la Agencia Nacional contra el Crimen del Reino Unido, trabajando en estrecha cooperación con el FBI y el grupo de trabajo internacional de aplicación de la ley, Operación Cronos».
Los periodistas de Bleeping Computer confirmaron que los sitios utilizados por LockBit para «negociar» con sus víctimas también están caídos. El estado de la cuenta LockBitSupp Tox muestra un mensaje que indica que el FBI hackeó los servidores de ransomware utilizando un exploit PHP.
El vicepresidente de la Unidad Contra Amenazas de SecureWorks, Don Smith, describió la eliminación como «fantástica». Según datos del sitio de filtración, LockBit tenía una participación del 25% del mercado de ransomware. Su rival más cercano fue AlphV/BlackCat, con alrededor del 8,5%. La acción de hoy es muy significativa.
La operación también busca tomar contacto con los afiliados del grupo y, cuando un afiliado intenta iniciar sesión en su panel, ve el siguiente mensaje. Además de Royal Mail, otros objetivos destacados incluyeron empresas de software, servicios del NHS, la ciudad de Oakland y el Banco de América.
LockBit también se destacó por sus trucos para generar publicidad, que incluían pagar a la gente para que se hiciera tatuajes LockBit y ofrecer un fondo de premios de 1 millón de dólares a quien lograra engañar a su operador principal. Incluso ejecutó su propio programa interno de recompensas bug bounty por vulnerabilidades.
La administración del grupo afirma que las fuerzas del orden los comprometieron al explotar la vulnerabilidad crítica en PHP CVE-2023-3824 (CVSS 9.8) y ya han publicado pantallas relacionadas al backoffice.
Actualización 21/02: Arrestos y herramienta gratuita
Las autoridades arrestaron a dos operadores de la banda de ransomware LockBit en Polonia y Ucrania, crearon una herramienta de descifrado para recuperar archivos cifrados de forma gratuita y confiscaron más de 200 criptomonederos después de acceder a los servidores del grupo.
Las autoridades judiciales francesas y estadounidenses también emitieron tres órdenes de arresto internacionales y cinco acusaciones contra otros actores de la amenaza LockBit. Dos de las acusaciones fueron reveladas por el Departamento de Justicia de Estados Unidos contra dos ciudadanos rusos, Artur Sungatov e Ivan Gennadievich Kondratiev (alias Bassterlord), por su participación en los ataques LockBit.
Como parte de la Operación Cronos, las autoridades recuperaron más de 1.000 claves de descifrado de los servidores LockBit incautados. Utilizando estas claves, la policía japonesa, la NCA y el FBI desarrollaron una herramienta de descifrado LockBit 3.0 Black Ransomware con el apoyo de Europol.
Este descifrador gratuito ya está disponible a través del portal No More Ransom. En este momento, los dominios Tor del grupo muestran una lista de publicaciones que anuncian actividades realizadas por agencias de aplicación de la ley. Está escrito en formato Lockbit, lo que demuestra que tienen control total sobre la infraestructura de los grupos de ransomware Lockbit.
Actualización 22/02: Nueva versión y análisis técnico
Los datos de Ivan Gennadievich Kondratyev, también conocido como «Bassterlord», han sido agregados a la lista SDN (Specially Designated Nationals) de la OFAC.
Se confirma que LockBit estaba creando en secreto una nueva versión de su cifrador (LockBit-NG-Dev o LockBit 4.0) y Trend Micro publica un informe técnico sobre el mismo.