Le gang de ransomware LockBit piraté, 60 000 adresses Bitcoin divulguées
- Le groupe de rançongiciels LockBit a subi une importante faille de sécurité, entraînant la fuite de 60 000 adresses de portefeuilles Bitcoin et de données internes.
- Des pirates ont altéré les panneaux du dark web de LockBit, exposant des chats de victimes, des builds d'affiliés et des mots de passe en clair.
- La fuite pourrait être liée à DragonForce ; les analystes en cybersécurité identifient la vulnérabilité PHP CVE-2024-4577 comme vecteur d'attaque.
Le groupe de ransomware LockBit a été frappé par une cyberattaque qui a exposé ses opérations internes. Près de 60 000 adresses de portefeuilles Bitcoin associées aux activités du groupe ont été divulguées, ainsi que des milliers de communications avec les victimes et des enregistrements détaillés de son infrastructure arrière.
La brèche, remarquée pour la première fois par le chercheur en criminalité informatique Rey mercredi soir, s'est produite fin avril 2025. Les panneaux d'affiliés de LockBit sur le web sombre ont été vandalisés, remplacés par un message disant : « Ne commettez pas de crimes. LE CRIME EST MAUVAIS xoxo de Prague », avec un lien vers un dump de base de données MySQL intitulé « paneldb_dump.zip ».
https://twitter.com/ReyXBF/status/1920220381681418713
« Une analyse de base de la base de données indique que le dump a été créé autour du 29 avril, suggérant que LockBit a été compromis à cette date ou avant et a ensuite été vandalisé le 7 mai », a confirmé Rey.
Exposition des données dans le dump du panneau
Selon Rey, citant une analyse de la publication de cybersécurité BleepingComputer, il y avait environ 20 tables dans la base de données divulguée, y compris une table « btc_addresses » qui listait 59 975 adresses de portefeuilles Bitcoin uniques connectées aux paiements de ransomware de LockBit.
D'autres données notables dans la fuite incluent une table « builds », qui détaille les charges utiles de ransomware créées par les affiliés de LockBit. La table comprend des clés de chiffrement publiques et, dans certains cas, des noms d'entreprises ciblées.
La table « builds_configurations » montrait quels fichiers ou serveurs les affiliés ont configuré pour éviter ou chiffrer leurs attaques, ainsi que plusieurs autres tactiques opérationnelles utilisées dans les campagnes de ransomware précédentes.
Comme on peut le voir dans une table appelée « chats », il y avait plus de 4 400 messages de négociation entre les affiliés de LockBit et les victimes, s'étendant du 19 décembre 2024 au 29 avril 2025.
— Ransom-DB (@Ransom_DB) Mai 8, 2025
Le dump expose également une table « users » listant 75 administrateurs et affiliés de LockBit ayant accès au panneau arrière du groupe. Les enquêteurs en sécurité ont été choqués de découvrir que les mots de passe des utilisateurs étaient stockés en texte clair.
Le chercheur en cybersécurité Michael Gillespie a mentionné certains des mots de passe exposés, y compris « Weekendlover69 », « MovingBricks69420 » et « Lockbitproud231 ».
LockBitSupp, un opérateur connu du groupe LockBit, a confirmé dans un chat Tox avec Rey que la brèche était réelle. Cependant, l'opérateur a insisté sur le fait qu'aucune clé privée ou donnée critique n'avait été perdue.
https://twitter.com/ReyXBF/status/1920245719434231900
Alon Gal, directeur technologique chez Hudson Rock, a déclaré que les données incluent également des builds de ransomware personnalisés et certaines clés de déchiffrement. Selon Gal, si elles sont vérifiées, les clés pourraient aider certaines victimes à récupérer leurs données sans payer de rançons.
Exploitation des vulnérabilités du serveur
Une analyse du dump SQL a révélé que le serveur affecté exécutait PHP 8.1.2, une version vulnérable à une faille identifiée comme « CVE-2024-4577 ». La vulnérabilité permet l'exécution de code à distance, ce qui explique comment les attaquants ont pu infiltrer et extraire les systèmes arrière de LockBit.
Les professionnels de la sécurité pensent que le style du message de vandalisme pourrait relier l'incident à une récente brèche du site de ransomware Everest, qui a utilisé la même formulation « LE CRIME EST MAUVAIS ». La similarité suggère que le même acteur ou groupe pourrait être derrière les deux incidents, bien qu'aucune attribution claire n'ait été confirmée.
Les pirates derrière la brèche ne se sont pas manifestés, mais Kevin Beaumont, un groupe de sécurité basé au Royaume-Uni, a déclaré que le groupe DragonForce pourrait être responsable.
« Quelqu'un a piraté LockBit. Je vais deviner DragonForce », a-t-il écrit sur Mastodon.
Selon la BBC, DragonForce aurait été impliqué dans plusieurs cyberattaques contre des détaillants britanniques, y compris Marks & Spencer, Co-op et Harrods.
En 2024, l'opération Cronos, un effort multinational dirigé par le Royaume-Uni impliquant des agences de police de dix pays, dont le Federal Bureau of Investigation (FBI), a temporairement arrêté les activités de LockBit, bien que le groupe ait finalement réapparu.
L'opération aurait mis hors service 34 serveurs, confisqué des portefeuilles crypto et découvert plus de 1 000 clés de déchiffrement.
Les forces de l'ordre croient que les opérateurs de LockBit sont basés en Russie, une juridiction qui rendrait difficile leur poursuite en justice. Les gangs de ransomware centrent leurs opérations à l'intérieur des frontières de la Russie car les arrestations directes sont presque impossibles.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Florence Muchai
Florence couvre depuis 6 ans l'actualité crypto, du jeu vidéo, de la technologie et de l'IA. Ses études en informatique à l'Université de sciences et technologies de Meru et sa formation en gestion des catastrophes et en diplomatie internationale à l'MMUST lui ont amplement permis de développer des compétences linguistiques, d'observation et techniques. Florence a travaillé au sein du groupe VAP et en tant qu'éditrice pour plusieurs médias spécialisés dans la crypto.
