LockBit powraca do gry!

Zaledwie kilka dni po imponującej operacji międzynarodowych służb, grupa LockBit ponownie wchodzi do akcji. Tym razem grozi skoncentrowaniem swoich ataków na sektorze rządowym. Przestępczy syndykat opublikował obszerny komunikat, w którym przyznaje się do swoich niedociągnięć, które umożliwiły penetrację infrastruktury LockBit. Przedstawia również swoje plany na przyszłość…

Przypomnijmy, 19 lutego władze rozbiły infrastrukturę LockBit, likwidując 34 serwery. Pięć dni później LockBit powrócił i przedstawił szczegóły dotyczące naruszenia. Grupa omówiła również sposoby, w jaki zamierzają prowadzić dalszą działalność. 

Nowa witryna LockBit (Źródło: Bleeping Computer)

Przyczyną włamania miało być osobiste zaniedbanie lidera grupy. Przyznał on, że “przez 5 lat pływania w pieniądzach stał się bardzo leniwy”. W szczególności wskazał na swoje zaniedbanie w kontekście aktualizacji PHP, co doprowadziło do kompromitacji serwera panelu administracyjnego i czatu ofiary oraz serwera bloga. Działały one na wersji PHP 8.1.2, która była podatna na krytyczną lukę bezpieczeństwa oznaczoną jako CVE-2023-3824. W odpowiedzi na te wydarzenia, LockBit zaktualizował swoje serwery do najnowszej wersji PHP i ogłosił nagrodę dla każdego, kto znajdzie lukę w ich zaktualizowanym systemie. 

W trakcie operacji Cronos, organy ścigania zgromadziły ponad 1000 kluczy deszyfrujących, co stanowi niezaprzeczalny sukces. Jednakże, LockBit twierdzi, że klucze te zostały uzyskane z “niezabezpieczonych deszyfratorów”. Miały one nie posiadać włączonej funkcji zapewniającej maksymalną ochronę przed odszyfrowaniem. Grupa zaznacza, że na ich serwerze znajdowało się blisko 20 000 takich deszyfratorów, co sugeruje, że ujawnione klucze stanowią jedynie część z całkowitej liczby wygenerowanych przez cały okres działalności operacji.