- LockBit ランサムウェアグループが重大な侵害を受け、60,000 の Bitcoin ウォレットアドレスと内部データが流出しました。
- ハッカーが LockBit のダークウェブパネルを改ざんし、被害者のチャット、アフィリエイトビルド、プレーンテキストパスワードを露呈させました。
- 今回の侵害は DragonForce と関連している可能性があり、セキュリティアナリストは攻撃ベクトルとして PHP の脆弱性 CVE-2024-4577 を挙げています。
ランサムウェアグループのLockBitはサイバー攻撃を受け、内部運用が暴露された。グループの活動に関連する約6万のBitcoinウォレットアドレスが漏洩し、数千の被害者との通信記録やバックエンドインフラの詳細な記録も公開された。
この侵害は、水曜日の夜遅くにサイバー犯罪研究者のReyによって最初に発見され、2025年4月末に発生した。LockBitのダークウェブアフィリエイトパネルは改ざんされ、「Don’t do crime. CRIME IS BAD xoxo from Prague」というメッセージと、「paneldb_dump.zip」というタイトルのMySQLデータベースダンプへのリンクに置き換えられた。
https://twitter.com/ReyXBF/status/1920220381681418713
「データベースの基本的な分析により、ダンプは4月29日頃に作成されたことが示唆されており、LockBitはその日またはそれ以前に侵害され、その後5月7日に改ざんされた」とReyは確認した。
パネルダンプにおけるデータ暴露
Reyは、セキュリティ出版物BleepingComputerの分析を引用し、漏洩したデータベースには約20のテーブルがあり、その中にはLockBitのランサムウェア支払いに関連する59,975の一意のBitcoinウォレットアドレスをリストした「btc_addresses」テーブルが含まれていたと述べた。
漏洩データのもう一つの注目すべき点は、「builds」テーブルであり、これはLockBitアフィリエイトによって作成されたランサムウェアペイロードの詳細を示している。このテーブルには公開暗号化キーが含まれており、場合によっては標的となった企業の名前も含まれている。
「builds_configurations」テーブルは、アフィリエイトが攻撃を回避または暗号化するために構成したファイルやサーバーを示しており、以前のランサムウェアキャンペーンで使用されたその他の運用戦術も含まれていた。
「chats」と呼ばれる1つのテーブルに見られるように、LockBitアフィリエイトと被害者の間の4,400件以上の交渉メッセージがあり、2024年12月19日から2025年4月29日までの期間にわたっていた。
— Ransom-DB (@Ransom_DB) 5月 8、2025
このデータ漏洩は、75人のLockBit管理者およびグループのバックエンドパネルにアクセスできるアフィリエイトをリストした「users」テーブルも明らかにした。セキュリティ調査家は、ユーザーのパスワードが平文で保存されていたことを発見し、衝撃を受けた。
サイバーセキュリティ研究者のMichael Gillespieは、「Weekendlover69」、「MovingBricks69420」、「Lockbitproud231」など、暴露されたパスワードの一部を挙げた。
LockBitグループの既知の運用者であるLockBitSuppは、ReyとのToxチャットで侵害が現実であることを確認した。しかし、運用者はプライベートキーや重要なデータが失われていないと主張した。
https://twitter.com/ReyXBF/status/1920245719434231900
Hudson Rockの最高技術責任者であるAlon Galは、データにはカスタムランサムウェアのビルドと一部の復号化キーも含まれていると述べた。Galによると、確認されれば、これらのキーは一部の被害者が身代金を支払うことなくデータを回復するのを助ける可能性がある。
サーバーの脆弱性の悪用
SQLダンプの分析により、影響を受けたサーバーが「CVE-2024-4577」として識別された欠陥に脆弱なPHP 8.1.2を実行していることが明らかになった。この脆弱性はリモートコード実行を可能にし、攻撃者がLockBitのバックエンドシステムに侵入してデータを盗み出すことができた理由を説明している。
セキュリティ専門家は、改ざんメッセージのスタイルが、同じ「CRIME IS BAD」の表現を使用した最近のエベレストランサムウェアサイトの侵害事件に関連している可能性があると信じている。この類似性は、両方の事件の背後に同じアクターまたはグループがいる可能性を示唆しているが、明確な帰属は確認されていない。
侵害の背後にあるハッカーたちは姿を現していないが、英国のセキュリティ組織であるKevin Beaumontは、DragonForceグループが責任を負っている可能性があると述べた。
「誰かがLockBitをハッキングした。ドラゴンフォースだろうと推測する」と彼はMastodonに書き込んだ。
BBCによると、DragonForceはMarks & Spencer、Co-op、Harrodsを含む英国の小売業者に対するいくつかのサイバー攻撃に関与していたとされる。
2024年、英国主導で連邦捜査局（FBI）を含む10カ国の法執行機関が関与したOperation Cronosは、LockBitの活動を一時停止させたが、グループは最終的に再登場した。
この作戦により、34台のサーバーが停止し、暗号資産ウォレットが押収され、1,000件以上の復号化キーが発見された。
法執行機関は、LockBitの運用者がロシアに拠点を置いていると信じており、これは彼らを法廷に引き出すのが難しい管轄区域である。ランサムウェアギャングは、直接的な逮捕がほぼ不可能であるため、ロシアの国境内で運用を中心としている。
最も賢明な暗号通貨の専門家たちはすでに私たちのニュースレターを読んでいます。あなたも参加しませんか？ 彼らに加わりましょう。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
Florence Muchai
フローレンスは過去6年間、暗号資産、ゲーム、テクノロジー、AIに関するニュースを報道してきました。メルウ科学技術大学でのコンピュータ学およびMMUSTでの災害管理と国際外交の学習により、言語能力、観察力、技術スキルを十分に備えています。フローレンスはVAPグループで勤務し、複数の暗号資産メディアハウスで編集者として活躍しました。
