La banda de ransomware LockBit es hackeada, se filtran 60.000 direcciones de Bitcoin
- El grupo de ransomware LockBit sufrió una importante filtración, exponiendo 60.000 direcciones de billeteras Bitcoin y datos internos.
- Los hackers modificaron los paneles en la dark web de LockBit, revelando chats con víctimas, construcciones de afiliados y contraseñas en texto plano.
- La filtración podría estar vinculada a DragonForce; los analistas de seguridad señalan la vulnerabilidad PHP CVE-2024-4577 como el vector del ataque.
El grupo de ransomware LockBit ha sido víctima de un ciberataque que expuso sus operaciones internas. Se han filtrado casi 60.000 direcciones de billeteras Bitcoin asociadas con las actividades del grupo, junto con miles de comunicaciones con víctimas y registros detallados de su infraestructura backend.
La brecha, detectada por primera vez por el investigador de cibercrimen Rey el miércoles por la noche, ocurrió a finales de abril de 2025. Los paneles de afiliados de la dark web de LockBit fueron defaceados, reemplazados por un mensaje que decía: "No cometas crímenes. EL CRIMEN ES MALO xoxo desde Praga", con un enlace a un volcado de base de datos MySQL titulado "paneldb_dump.zip".
https://twitter.com/ReyXBF/status/1920220381681418713
"Un análisis básico de la base de datos indica que el volcado se creó alrededor del 29 de abril, lo que sugiere que LockBit fue comprometido el o antes de esa fecha y posteriormente defaceado el 7 de mayo", confirmó Rey.
Exposición de datos en el volcado del panel
Según Rey, citando un análisis de la publicación de ciberseguridad BleepingComputer, había unas 20 tablas en la base de datos filtrada, incluida una tabla 'btc_addresses' que listaba 59.975 direcciones únicas de billeteras Bitcoin conectadas a los pagos de ransomware de LockBit.
Otros datos notables en la filtración incluyen una tabla 'builds', que detalla las cargas útiles de ransomware creadas por los afiliados de LockBit. La tabla incluye claves de cifrado públicas y, en algunos casos, nombres de empresas objetivo.
La tabla 'builds_configurations' mostraba qué archivos o servidores configuraban sus ataques los afiliados para evitar o cifrar, y varias otras tácticas operativas utilizadas en campañas anteriores de ransomware.
Como se ve en una tabla llamada 'chats', había más de 4.400 mensajes de negociación entre los afiliados de LockBit y las víctimas, que abarcan desde el 19 de diciembre de 2024 hasta el 29 de abril de 2025.
— Ransom-DB (@Ransom_DB) 19 de may. 8, 2025
El volcado también expone una tabla de 'usuarios' que enumera a 75 administradores y afiliados de LockBit con acceso al panel backend del grupo. Los investigadores de seguridad se quedaron impactados al descubrir que las contraseñas de los usuarios se almacenaban en texto claro.
El investigador de ciberseguridad Michael Gillespie mencionó algunas de las contraseñas expuestas, incluidas "Weekendlover69", "MovingBricks69420" y "Lockbitproud231".
LockBitSupp, un operador conocido del grupo LockBit, confirmó en un chat de Tox con Rey que la brecha era real. Sin embargo, el operador insistió en que no se habían perdido claves privadas ni datos críticos.
https://twitter.com/ReyXBF/status/1920245719434231900
Alon Gal, Director de Tecnología en Hudson Rock, dijo que los datos también incluyen compilaciones personalizadas de ransomware y algunas claves de descifrado. Según Gal, si se verifican, las claves podrían ayudar a algunas víctimas a recuperar sus datos sin pagar rescates.
Explotación de vulnerabilidades del servidor
Un análisis del volcado SQL reveló que el servidor afectado ejecutaba PHP 8.1.2, una versión vulnerable a un fallo identificado como "CVE-2024-4577". La vulnerabilidad permite la ejecución remota de código, lo que explica cómo los atacantes pudieron infiltrarse y extraer los sistemas backend de LockBit.
Los profesionales de la seguridad creen que el estilo del mensaje de defacement puede vincular el incidente con una brecha reciente del sitio de ransomware Everest, que utilizó la misma frase "EL CRIMEN ES MALO". La similitud sugiere que el mismo actor o grupo podría estar detrás de ambos incidentes, aunque no se ha confirmado una atribución clara.
Los hackers detrás de la brecha no han salido a la luz, pero Kevin Beaumont, un equipo de seguridad con sede en el Reino Unido, dijo que el grupo DragonForce podría ser el responsable.
"Alguien ha hackeado a LockBit. Voy a adivinar que es DragonForce", escribió en Mastodon.
Según la BBC, DragonForce supuestamente estuvo involucrado en varios ciberataques a minoristas del Reino Unido, incluidas Marks & Spencer, Co-op y Harrods.
En 2024, la Operación Cronos, un esfuerzo multinacional liderado por el Reino Unido que involucró a agencias de aplicación de la ley de diez países, incluida la Oficina Federal de Investigación (FBI), detuvo temporalmente las actividades de LockBit, aunque el grupo eventualmente resurgió.
La operación reportedly derribó 34 servidores, confiscó billeteras de criptomonedas y descubrió más de 1.000 claves de descifrado.
Las fuerzas del orden creen que los operadores de LockBit están basados en Rusia, una jurisdicción que haría difícil llevarlos ante la justicia. Las bandas de ransomware centran sus operaciones dentro de las fronteras de Rusia porque los arrestos directos son casi imposibles.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Florence Muchai
Florence ha estado cubriendo durante los últimos 6 años noticias sobre criptomonedas, juegos, tecnología e inteligencia artificial. Sus estudios de Ciencias de la Computación en la Universidad de Ciencias y Tecnología de Meru y Gestión de Desastres y Diplomacia Internacional en MMUST la dotan adecuadamente de habilidades lingüísticas, de observación y técnicas. Florence ha trabajado en VAP Group y como editora en varias casas de medios de criptomonedas.
