'Hãy tránh xa tội phạm, tội phạm là xấu' — Cuộc tấn công vào băng nhóm ransomware LockBit tiết lộ 59,975 địa chỉ Bitcoin và hàng ngàn cuộc đàm phán của nạn nhân: báo cáo

Băng nhóm ransomware LockBit đã bị rò rỉ dữ liệu của chính mình, tiết lộ 59.975 địa chỉ Bitcoin, khóa công khai và 4.442 tin nhắn đàm phán với nạn nhân sau một vụ hack gần đây.

LockBit là một nhóm tội phạm mạng khét tiếng điều hành hoạt động Ransomware-as-a-Service, phát triển công cụ và cơ sở hạ tầng cho các đối tác thực hiện các cuộc tấn công. Giống như hầu hết các nhóm ransomware, nó yêu cầu thanh toán bằng tiền điện tử — thường là Bitcoin (BTC) hoặc Monero (XMR) — với nạn nhân được hướng dẫn gửi tiền vào các địa chỉ ví được chỉ định để nhận khóa giải mã hoặc tránh rò rỉ dữ liệu. Các đối tác thường rửa tiền thu được bằng cách sử dụng máy trộn, hoán đổi chuỗi chéo hoặc đồng tiền bảo mật, cố gắng tránh bị phát hiện.

Các bảng điều khiển đối tác trên web đen của LockBit đã bị phá hoại và thay thế bằng một thông điệp liên kết đến một cơ sở dữ liệu bị rò rỉ, trong đó ghi rằng, "Đừng phạm tội TỘI PHẠM LÀ XẤU xoxo từ Prague," theo báo cáo của ấn phẩm an ninh mạng Bleeping Computer.

Đầu tiên được lưu ý bởi tác nhân đe dọa, Rey, phân tích của BleepingComputer về cơ sở dữ liệu LockBit bị rò rỉ đã tìm thấy 20 bảng, với một số tiết lộ chi tiết. Một bảng liệt kê gần 60.000 địa chỉ Bitcoin, có khả năng là sự kết hợp của các địa chỉ được sử dụng bởi các đối tác và cơ sở hạ tầng của băng nhóm, trong khi một bảng khác hiển thị các bản dựng ransomware liên kết với các mục tiêu cụ thể. Cũng có các chi tiết cấu hình cho các cuộc tấn công, chẳng hạn như máy chủ nào cần bỏ qua hoặc tệp nào cần mã hóa. Một nhật ký trò chuyện bao gồm hơn 4.400 tin nhắn giữa hoạt động ransomware và nạn nhân, và một bảng người dùng liệt kê 75 quản trị viên và đối tác — với mật khẩu được lưu trữ dưới dạng văn bản thuần túy, bao gồm các ví dụ như "Weekendlover69" và "Lockbitproud231."

Không có khóa riêng tư nào bị rò rỉ

Một nhà điều hành LockBit được biết đến với tên "LockBitSupp" đã xác nhận vụ vi phạm với Rey, tuyên bố rằng không có khóa riêng tư nào bị rò rỉ.

Theo Bleeping Computer, cơ sở dữ liệu dường như đã bị rò rỉ vào khoảng ngày 29 tháng 4, dựa trên dấu thời gian MySQL và bản ghi trò chuyện mới nhất. Mặc dù không rõ ai đã thực hiện vụ vi phạm hoặc bằng cách nào, thông điệp phá hoại khớp với một thông điệp được sử dụng trong một cuộc tấn công gần đây vào trang web đen của ransomware Everest, cho thấy một liên kết có thể có. Máy chủ cũng đang chạy PHP 8.1.2, dễ bị tổn thương với CVE-2024-4577 — một lỗ hổng nghiêm trọng có thể cho phép thực thi mã từ xa, theo outlet cho biết.

Vào tháng 2 năm 2024, Operation Cronos — một nỗ lực thực thi pháp luật quốc tế — đã tháo dỡ cơ sở hạ tầng của LockBit, thu giữ 34 máy chủ, dữ liệu bị đánh cắp, địa chỉ tiền điện tử, 1.000 khóa giải mã và bảng điều khiển đối tác của nó. Mặc dù LockBit sau đó đã xây dựng lại và tiếp tục hoạt động, nhóm đã chịu một thất bại lớn khác vào tháng 5 năm ngoái, khi các cơ quan chức năng Hoa Kỳ vạch trần và truy tố thủ lĩnh của nó, Dmitry Khoroshev, với 26 tội danh hình sự. Bị cáo buộc đã kiếm được 100 triệu đô la từ các khoản thanh toán tiền chuộc, Khoroshev phải đối mặt với các biện pháp trừng phạt, đóng băng tài sản và một khoản tiền thưởng 10 triệu đô la của Hoa Kỳ cho việc bắt giữ anh ta.