La gang ransomware LockBit viene hackerata, 60K indirizzi Bitcoin trapelati
- Il gruppo ransomware LockBit ha subito una grave violazione, con la fuoriuscita di 60.000 indirizzi di portafoglio Bitcoin e dati interni.
- Gli hacker hanno alterato i pannelli dark web di LockBit, esponendo chat delle vittime, build per affiliati e password in chiaro.
- La violazione potrebbe essere collegata a DragonForce; gli analisti di sicurezza indicano la vulnerabilità PHP CVE-2024-4577 come vettore d'attacco.
Il gruppo ransomware LockBit è stato colpito da un cyberattacco che ha esposto le sue operazioni interne. Quasi 60.000 indirizzi di portafogli Bitcoin associati alle attività del gruppo sono stati trapelati, insieme a migliaia di comunicazioni con le vittime e registri dettagliati della sua infrastruttura backend.
La violazione, notata per la prima volta dal ricercatore di criminalità informatica Rey mercoledì sera, si è verificata alla fine di aprile 2025. I pannelli affiliati di LockBit sul dark web sono stati defacciati, sostituiti da un messaggio che recitava: “Non commettere crimini. IL CRIMINE È CATTIVO xoxo da Praga”, con un link a uno dump del database MySQL intitolato “paneldb_dump.zip.”
https://twitter.com/ReyXBF/status/1920220381681418713
“Un'analisi di base del database indica che lo dump è stato creato intorno al 29 aprile, suggerendo che LockBit è stato compromesso il o prima di quella data e successivamente defacciato il 7 maggio”, ha confermato Rey.
Esposizione dei dati nello dump del pannello
Secondo Rey, citando un'analisi della pubblicazione di cybersecurity BleepingComputer, c'erano circa 20 tabelle nel database trapelato, tra cui una tabella 'btc_addresses' che elencava 59.975 indirizzi di portafogli Bitcoin unici connessi ai pagamenti ransomware di LockBit.
Altri dati notevoli nella trapelazione includono una tabella 'builds', che dettagliava i payload ransomware creati dagli affiliati di LockBit. La tabella includeva chiavi di crittografia pubbliche e, in alcuni casi, nomi delle aziende prese di mira.
La tabella 'builds_configurations' mostrava quali file o server gli affiliati configuravano per evitare o crittografare nei loro attacchi, e diverse altre tattiche operative utilizzate nelle precedenti campagne ransomware.
Come visto in una tabella chiamata 'chats', c'erano oltre 4.400 messaggi di negoziazione tra gli affiliati di LockBit e le vittime, che spaziavano dal 19 dicembre 2024 al 29 aprile 2025.
— Ransom-DB (@Ransom_DB) 18 mag. 8, 2025
Lo dump espone anche una tabella 'utenti' che elenca 75 amministratori di LockBit e affiliati con accesso al pannello backend del gruppo. Gli investigatori di sicurezza sono rimasti scioccati nel scoprire che le password degli utenti erano memorizzate in chiaro.
Il ricercatore di cybersecurity Michael Gillespie ha menzionato alcune delle password esposte, tra cui “Weekendlover69,” “MovingBricks69420,” e “Lockbitproud231.”
LockBitSupp, un noto operatore del gruppo LockBit, ha confermato in una chat Tox con Rey che la violazione era reale. Tuttavia, l'operatore ha insistito sul fatto che nessuna chiave privata o dati critici erano stati persi.
https://twitter.com/ReyXBF/status/1920245719434231900
Alon Gal, Chief Technology Officer di Hudson Rock, ha detto che i dati includono anche build ransomware personalizzate e alcune chiavi di decrittazione. Secondo Gal, se verificate, le chiavi potrebbero aiutare alcune vittime a recuperare i loro dati senza pagare i riscatti.
Sfruttamento delle vulnerabilità del server
Un'analisi dello dump SQL ha rivelato che il server interessato eseguiva PHP 8.1.2, una versione vulnerabile a un difetto identificato come “CVE-2024-4577.” La vulnerabilità consente l'esecuzione remota di codice, il che spiega come gli attaccanti siano riusciti a infiltrarsi ed estrarre i sistemi backend di LockBit.
I professionisti della sicurezza credono che lo stile del messaggio di defacciamento possa collegare l'incidente a una recente violazione del sito ransomware Everest, che ha utilizzato la stessa frase “IL CRIMINE È CATTIVO”. La somiglianza suggerisce che lo stesso attore o gruppo potrebbe essere dietro entrambi gli incidenti, sebbene non sia stata confermata un'attribuzione chiara.
Gli hacker dietro la violazione non si sono fatti avanti, ma Kevin Beaumont, un'organizzazione di sicurezza con sede nel Regno Unito, ha detto che il gruppo DragonForce potrebbe essere responsabile.
“Qualcuno ha hackerato LockBit. Indovino DragonForce”, ha scritto su Mastodon.
Secondo la BBC, DragonForce sarebbe stato coinvolto in diversi cyberattacchi ai dettaglianti del Regno Unito, tra cui Marks & Spencer, Co-op e Harrods.
Nel 2024, l'Operazione Cronos, uno sforzo multinazionale guidato dal Regno Unito che coinvolgeva agenzie di applicazione della legge di dieci paesi, tra cui il Federal Bureau of Investigation (FBI), ha temporaneamente fermato le attività di LockBit, sebbene il gruppo alla fine sia riemerso.
L'operazione avrebbe portato alla chiusura di 34 server, alla confisca di portafogli crypto e alla scoperta di oltre 1.000 chiavi di decrittazione.
Le forze dell'ordine credono che gli operatori di LockBit abbiano sede in Russia, una giurisdizione che renderebbe difficile portarli davanti alla giustizia. Le gang ransomware centrano le loro operazioni all'interno dei confini della Russia perché gli arresti diretti sono quasi impossibili.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Florence Muchai
Florence si occupa di notizie relative a criptovalute, gaming, tecnologia e AI da oltre 6 anni. I suoi studi in Informatica presso l'Università Meru di Scienze e Tecnologia e in Gestione delle Emergenze e Diplomazia Internazionale presso il MMUST le hanno fornito eccellenti competenze linguistiche, osservative e tecniche. Florence ha lavorato al VAP Group e come editor per diverse testate specializzate in criptovalute.
