Las autoridades de once países llevaron a cabo una operación conjunta denominada Operación Cronos para incautar múltiples dominios darknet operados por el grupo de ransomware LockBit. La acción fue dirigida por la Agencia Nacional Contra el Crimen del Reino Unido (NCA), con asistencia de Europol y Eurojust.
Participantes en la operación
La operación involucró a autoridades de 11 países, incluyendo Australia, Canadá, Finlandia, Francia, Alemania, Japón, los Países Bajos, Suecia, Suiza, el Reino Unido y Estados Unidos.
Acciones técnicas en la operación
El sitio .onion del grupo mostró un banner de incautación con el mensaje «El sitio está ahora bajo el control de la aplicación de la ley». Según datos proporcionados por VX-Underground, los sitios fueron derribados aprovechando una vulnerabilidad crítica en PHP (CVE-2023-3824, puntuación CVSS: 9.8).
Impacto y actividad del grupo LockBit
LockBit es uno de los grupos de ransomware más prolíficos del mundo. Ha reclamado más de 2.000 víctimas, incluyendo al Puerto de Lisboa, el banco chino ICBC y el Ayuntamiento de Sevilla. Se estima que ha extorsionado al menos 91 millones de dólares solo de organizaciones estadounidenses.
Información sobre las víctimas
Según datos compartidos por ReliaQuest, LockBit enumeró 275 víctimas en su portal de filtración de datos en el cuarto trimestre de 2023. La NCA se comprometió a ponerse en contacto con las víctimas de Reino Unido para que puedan utilizar las claves para descifrar sus sistemas.
Acceso a claves de descifrado
Las víctimas podrán utilizar la página «No More Ransom» controlada por Europol para obtener claves de descifrado de LockBit. Se alienta a las víctimas a comunicarse con el FBI en https://lockbitvictims.ic3.gov/ para permitir que las autoridades determinen si los sistemas afectados se pueden descifrar con éxito.