- عانت عصابة الفدية LockBit من اختراق كبير، تم فيه تسريب 60,000 عنوان محفظة Bitcoin وبيانات داخلية.
- قام القراصنة بتخريب لوحات LockBit على الويب المظلم، مما أدى إلى كشف محادثات الضحايا، وبناءات الشركاء، وكلمات المرور النصية العادية.
- قد يكون الاختراق مرتبطًا بـ DragonForce؛ حيث يشير محللو الأمن إلى ثغرة PHP CVE-2024-4577 كوسيلة للهجوم.
تعرضت مجموعة الفدية لوك بيت لهجوم سيبراني كشف عملياتها الداخلية. تم تسريب ما يقرب من 60,000 عنوان محفظة بيتكوين مرتبطة بأنشطة المجموعة، بالإضافة إلى آلاف رسائل التواصل مع الضحايا وسجلات مفصلة من بنية التحتية الخلفية الخاصة بها.
حدث الاختراق، الذي لاحظته باحثة الجرائم السيبرانية ريي في وقت متأخر من يوم الأربعاء، في أواخر أبريل 2025. تم تشويه لوحات التابعة لموقع لوك بيت على الويب المظلم، واستُبدلت برسالة تقول: "لا ترتكب جرائم. الجريمة سيئة xoxo من براغ"، مع رابط إلى تفريغ لقاعدة بيانات MySQL بعنوان "paneldb_dump.zip".
https://twitter.com/ReyXBF/status/1920220381681418713
"تشير التحليلات الأساسية لقاعدة البيانات إلى أن التفريغ تم إنشاؤه في حوالي 29 أبريل، مما يشير إلى أن لوك بيت تم اختراقه في أو قبل ذلك التاريخ، وتم تشويه الموقع لاحقًا في 7 مايو"، أكدت ريي.
تسرب البيانات في تفريغ اللوحة
وفقًا لريي، مستشهدة بتحليل من منشور الأمن السيبراني BleepingComputer، كانت هناك حوالي 20 جدولًا في قاعدة البيانات المسربة، بما في ذلك جدول 'btc_addresses' الذي سرد 59,975 عنوان محفظة بيتكوين فريدًا متصلًا بدفعات الفدية الخاصة بلوك بيت.
تشمل البيانات البارزة الأخرى في التسريب جدول 'builds'، الذي يفصل تفاصيل حمولات الفدية التي أنشأتها تابعو لوك بيت. يتضمن الجدول مفاتيح التشفير العامة، وفي بعض الحالات، أسماء الشركات المستهدفة.
أظهر جدول 'builds_configurations' الملفات أو الخوادم التي قام التابعون بتكوين هجماتهم لتجنبها أو تشفيرها، بالإضافة إلى عدة تكتيكات تشغيلية أخرى استخدمت في حملات الفدية السابقة.
كما هو موضح في جدول يُدعى 'chats'، كانت هناك أكثر من 4,400 رسالة تفاوض بين تابعي لوك بيت والضحايا، تمتد من 19 ديسمبر 2024 إلى 29 أبريل 2025.
— Ransom-DB (@Ransom_DB) مايو 8، 2025
يكشف التفريغ أيضاً عن 'جدول مستخدمين' يدرج 75 من مسؤولي LockBit والشركاء مع الوصول إلى لوحة الخلفية للمجموعة. صدم محققو الأمن لاكتشاف أن كلمات مرور المستخدمين كانت مخزنة كنص واضح.
ذكر باحث الأمن السيبراني مايكل جيلسبي بعض كلمات المرور المكشوفة، بما في ذلك "Weekendlover69" و"MovingBricks69420" و"Lockbitproud231".
أكد LockBitSupp، وهو مشغل معروف لمجموعة لوك بيت، في محادثة عبر Tox مع ريي أن الاختراق حقيقي. ومع ذلك، أصر المشغل على أنه لم يتم فقدان أي مفاتيح خاصة أو بيانات حرجة.
https://twitter.com/ReyXBF/status/1920245719434231900
قال ألون غال، الرئيس التنفيذي للتكنولوجيا في Hudson Rock، إن البيانات تشمل أيضًا بناء فدية مخصصًا وبعض مفاتيح فك التشفير. ووفقًا لغال، إذا تم التحقق منها، فقد تساعد المفاتيح بعض الضحايا على استعادة بياناتهم دون دفع فدية.
استغلال ثغرات الخادم
كشف تحليل تفريغ SQL عن أن الخادم المتأثر كان يعمل بنظام PHP 8.1.2، وهو إصدار عرضة لعيب تم تحديده باسم "CVE-2024-4577". يسمح الثغرة بتنفيذ الأكواد عن بُعد، مما يفسر كيفية تمكن المهاجمين من التسلل إلى أنظمة الخلفية الخاصة بلوك بيت وسرقة البيانات منها.
يؤمن المحترفون في مجال الأمن أن أسلوب رسالة التشويه قد يربط الحادث باختراق حديث لموقع رانسوموير Everest، والذي استخدم نفس عبارة "الجريمة سيئة". يشير التشابه إلى أن نفس الفاعل أو المجموعة قد يكون وراء الحادثين، على الرغم من عدم تأكيد النسب بوضوح.
لم يظهر المخترعون وراء الاختراق، لكن كوين بيمونت، وهو كيان أمني مقره المملكة المتحدة، قال إن مجموعة DragonForce قد تكون مسؤولة.
"لقد اخترق شخص ما لوك بيت. سأخمن أن الأمر يتعلق بـ DragonForce"، كتب على منصة Mastodon.
ووفقًا لـ BBC، زُعم أن DragonForce شاركت في عدة هجمات سيبرانية على تجار التجزئة في المملكة المتحدة، بما في ذلك Marks & Spencer وCo-op وHarrods.
في عام 2024، أوقف عملية كرونوس، وهي جهد متعدد الجنسيات تقوده المملكة المتحدة وتشمل وكالات إنفاذ القانون من عشرة دول، بما في ذلك مكتب التحقيقات الفيدرالي (FBI)، أنشطة مجموعة لوك بيت مؤقتًا، على الرغم من أن المجموعة عادت في النهاية للظهور.
وقُتل العملية reportedly 34 خادمًا، ومصادرة محافظ العملات المشفرة، وكشف عن أكثر من 1,000 مفتاح فك تشفير.
تعتقد إنفاذ القانون أن مشغلي لوك بيت مقيمون في روسيا، وهي ولاية قضائية يصعب فيها محاكمتهم. تركز عصابات الفدية عملياتها داخل حدود روسيا لأن الاعتقالات المباشرة شبه مستحيلة.
لا تكتفِ بقراءة أخبار العملات الرقمية فحسب، بل افهمها. اشترك في نشرتنا الإخبارية. مجانية.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تتم بناءً على المعلومات المقدمة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
فلورنس موتشاي
تغطي فلورانس منذ 6 سنوات أخبار العملات الرقمية، والألعاب، والتكنولوجيا، والذكاء الاصطناعي. وقد زودتها دراستها لعلوم الحاسوب في جامعة ميرو للعلوم والتكنولوجيا، ودراسة إدارة الكوارث والدبلوماسية الدولية في MMUST بالمهارات اللغوية والملاحظة والتقنية اللازمة. عملت فلورانس في مجموعة VAP Group وككاتبة تحريرية في عدة وسائل إعلام متخصصة في العملات الرقمية.
