La banda de ransomware LockBit sufrió una filtración de datos que expuso información sensible relacionada con sus operaciones. Los paneles de administración del grupo fueron reemplazados por un mensaje que incluye un enlace a un volcado de datos de MySQL.
Contenido del volcado de datos
Los paneles ahora muestran el siguiente mensaje: «No delinquir. EL CRIMEN ES MALO. Besos y abrazos desde Praga», junto con un enlace para descargar «paneldb_dump.zip». El archivo contiene una base de datos MySQL extraída del panel de afiliados del sitio.
Según el análisis de BleepingComputer, la base de datos incluye veinte tablas. Algunas de ellas son particularmente relevantes:
- «btc_addresses»: contiene 59.975 direcciones únicas de bitcoin.
- «builds»: incluye las compilaciones individuales creadas por los afiliados para ataques, con claves públicas y nombres de empresas objetivo.
- «builds_configurations»: detalla configuraciones utilizadas en cada compilación, como servidores ESXi omitidos o archivos a cifrar.
- «chats»: contiene 4.442 mensajes de negociación entre la operación de ransomware y las víctimas del 19 de diciembre al 29 de abril.
- Usuarios: enumera a 75 administradores y afiliados que tuvieron acceso al panel. Se menciona que las contraseñas se almacenaban en texto plano, con ejemplos como «Weekendlover69», «MovingBricks69420» y «Lockbitproud231».
Confirmación de la filtración
En una conversación de Tox con Rey, el operador de LockBit conocido como «LockBitSupp» confirmó la filtración. Afirmó que no se filtraron claves privadas ni se perdieron datos.
Datos técnicos del volcado
Según la hora de generación del volcado y el último registro en la tabla de chats, la base de datos fue filtrada el 29 de abril de 2025. El servidor ejecutaba PHP 8.1.2, vulnerable a una vulnerabilidad crítica identificada como CVE-2024-4577, que permite la ejecución remota de código en servidores.
Posible vínculo con otras filtraciones
El mensaje utilizado en la filtración coincide con el empleado en una filtración reciente del sitio web oscuro del ransomware Everest, lo que sugiere un posible vínculo entre ambos incidentes.
No se ha confirmado quién llevó a cabo la filtración ni cómo se logró. Aunque se han revelado detalles importantes sobre las operaciones internas de LockBit, no se ha establecido una causa directa o responsabilidad específica.