- Die LockBit-Ransomware-Gruppe erlitt einen schweren Sicherheitsvorfall, bei dem 60.000 Bitcoin-Wallet-Adressen und interne Daten geleakt wurden.
- Hacker defigierten die Darknet-Foren von LockBit und legten Opfer-Chats, Affiliate-Builds sowie Klartext-Passwörter frei.
- Der Vorfall könnte mit DragonForce in Verbindung stehen; Sicherheitsexperten führen das Angriffsvektor auf eine PHP-Schwachstelle (CVE-2024-4577) zurück.
Die Ransomware-Gruppe LockBit wurde von einem Cyberangriff getroffen, der ihre internen Operationen offengelegt hat. Fast 60.000 Bitcoin-Wallet-Adressen, die mit den Aktivitäten der Gruppe verbunden sind, wurden geleakt, zusammen mit Tausenden von Opferkommunikationen und detaillierten Aufzeichnungen aus ihrer Backend-Infrastruktur.
Der Sicherheitsvorfall, der erstmals am späten Mittwoch von Cyberkriminalitätsforscher Rey bemerkt wurde, ereignete sich Ende April 2025. LockBits Dark-Web-Affiliate-Panels wurden defaced und durch eine Nachricht ersetzt, die lautete: „Don’t do crime. CRIME IS BAD xoxo from Prague“, mit einem Link zu einem MySQL-Datenbankdump mit dem Titel „paneldb_dump.zip“.
https://twitter.com/ReyXBF/status/1920220381681418713
„Eine grundlegende Analyse der Datenbank deutet darauf hin, dass der Dump um den 29. April erstellt wurde, was darauf hindeutet, dass LockBit an oder vor diesem Datum kompromittiert und anschließend am 7. Mai defaced wurde“, bestätigte Rey.
Datenexposition im Panel-Dump
Laut Rey, unter Berufung auf eine Analyse des Cybersicherheitspublikums BleepingComputer, gab es etwa 20 Tabellen in der geleakten Datenbank, darunter eine ‚btc_addresses‘-Tabelle, die 59.975 eindeutige Bitcoin-Wallet-Adressen auflistete, die mit LockBits Ransomware-Zahlungen verbunden waren.
Weitere bemerkenswerte Daten im Leak umfassen eine ‚builds‘-Tabelle, die die von LockBit-Affiliates erstellten Ransomware-Payloads im Detail beschreibt. Die Tabelle enthält öffentliche Verschlüsselungsschlüssel und in einigen Fällen Namen der angegriffenen Unternehmen.
Die ‚builds_configurations‘-Tabelle zeigte, welche Dateien oder Server Affiliates für ihre Angriffe konfigurieren sollten, um sie zu vermeiden oder zu verschlüsseln, sowie mehrere andere operative Taktiken, die in früheren Ransomware-Kampagnen verwendet wurden.
Wie in einer Tabelle namens ‚chats‘ zu sehen war, gab es über 4.400 Verhandlungsnachrichten zwischen LockBit-Affiliates und Opfern, die vom 19. Dezember 2024 bis zum 29. April 2025 reichten.
— Ransom-DB (@Ransom_DB) Mai 8, 2025
Der Dump enthüllt auch eine ‚users‘-Tabelle mit 75 LockBit Administratoren und Affiliates mit Zugriff auf das Backend-Panel der Gruppe. Sicherheitsexperten waren schockiert festzustellen, dass Benutzerpasswörter im Klartext gespeichert waren.
Der Cybersicherheitsforscher Michael Gillespie erwähnte einige der exponierten Passwörter, darunter „Weekendlover69“, „MovingBricks69420“ und „Lockbitproud231.“
LockBitSupp, ein bekannter Betreiber der LockBit-Gruppe, bestätigte in einem Tox-Chat mit Rey, dass der Vorfall real war. Der Betreiber bestand jedoch darauf, dass keine privaten Schlüssel oder kritischen Daten verloren gegangen seien.
https://twitter.com/ReyXBF/status/1920245719434231900
Alon Gal, Chief Technology Officer bei Hudson Rock, sagte, die Daten umfassten auch benutzerdefinierte Ransomware-Builds und einige Entschlüsselungsschlüssel. Laut Gal könnten die Schlüssel, falls verifiziert, einigen Opfern helfen, ihre Daten wiederherzustellen, ohne Lösegeld zu zahlen.
Ausnutzung von Server-Schwachstellen
Eine Analyse des SQL-Dumps ergab, dass der betroffene Server PHP 8.1.2 ausführte, eine Version, die anfällig für einen Fehler ist, der als „CVE-2024-4577“ identifiziert wurde. Die Schwachstelle ermöglicht Remote-Code-Ausführung, was erklärt, wie Angreifer in die Backend-Systeme von LockBit eindringen und Daten abfließen lassen konnten.
Sicherheitsprofis glauben, dass der Stil der Defacement-Nachricht den Vorfall mit einem kürzlichen Angriff auf die Everest-Ransomware-Website verbinden könnte, die dieselbe „CRIME IS BAD“-Formulierung verwendete. Die Ähnlichkeit deutet darauf hin, dass derselbe Akteur oder dieselbe Gruppe hinter beiden Vorfällen steckt, obwohl keine klare Zuordnung bestätigt wurde.
Die Hacker hinter dem Vorfall sind nicht in Erscheinung getreten, aber Kevin Beaumont, eine britische Sicherheitsorganisation, sagte, die Gruppe DragonForce könnte verantwortlich sein.
„Jemand hat LockBit gehackt. Ich rate mal, DragonForce“, schrieb er auf Mastodon.
Laut der BBC war DragonForce angeblich an mehreren Cyberangriffen auf britische Einzelhändler beteiligt, darunter Marks & Spencer, Co-op und Harrods.
Im Jahr 2024 stoppte Operation Cronos, eine von Großbritannien angeführte multinationale Anstrengung unter Beteiligung von Strafverfolgungsbehörden aus zehn Ländern, einschließlich des Federal Bureau of Investigation (FBI), vorübergehend die Aktivitäten von LockBit, obwohl die Gruppe schließlich wiederaufgetaucht ist.
Die Operation soll angeblich 34 Server abgeschaltet, Krypto-Wallets beschlagnahmt und über 1.000 Entschlüsselungsschlüssel aufgedeckt haben.
Die Strafverfolgungsbehörden glauben, dass die Betreiber von LockBit in Russland ansässig sind, einer Jurisdiktion, in der es schwierig sein würde, sie vor Gericht zu bringen. Ransomware-Banden konzentrieren ihre Operationen innerhalb der Grenzen Russlands, da direkte Festnahmen fast unmöglich sind.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Florence Muchai
Florence berichtet seit sechs Jahren über Kryptowährungen, Gaming, Technologie und KI. Ihr Studium der Computerwissenschaften an der Meru University of Science and Technology sowie ihr Studium im Bereich Katastrophenmanagement und internationale Diplomatie an der MMUST haben sie umfassend mit Sprach-, Beobachtungs- und technischen Fähigkeiten ausgestattet. Florence war bei der VAP Group tätig und arbeitete als Redakteurin für mehrere Krypto-Medienhäuser.
