Gangue de ransomware LockBit é hackeada, 60 mil endereços Bitcoin vazados
- O grupo de ransomware LockBit sofreu uma grande violação, vazando 60.000 endereços de carteiras Bitcoin e dados internos.
- Hackers desfiguraram os painéis na dark web do LockBit, expondo chats de vítimas, builds de afiliados e senhas em texto puro.
- A violação pode estar ligada ao DragonForce; analistas de segurança apontam a vulnerabilidade PHP CVE-2024-4577 como vetor do ataque.
O grupo de ransomware LockBit foi atingido por um ciberataque que expôs suas operações internas. Quase 60.000 endereços de carteiras Bitcoin associados às atividades do grupo foram vazados, junto com milhares de comunicações com vítimas e registros detalhados de sua infraestrutura backend.
A violação, notada pela primeira vez pelo pesquisador de cibercrime Rey na noite de quarta-feira, ocorreu no final de abril de 2025. Os painéis de afiliados da dark web do LockBit foram desfigurados, substituídos por uma mensagem que dizia: “Não cometa crimes. CRIME É RUIM xoxo de Praga”, com um link para um despejo de banco de dados MySQL intitulado “paneldb_dump.zip.”
https://twitter.com/ReyXBF/status/1920220381681418713
“Uma análise básica do banco de dados indica que o despejo foi criado por volta de 29 de abril, sugerindo que o LockBit foi comprometido em ou antes dessa data e posteriormente desfigurado em 7 de maio”, confirmou Rey.
Exposição de dados no despejo do painel
De acordo com Rey, citando uma análise da publicação de segurança cibernética BleepingComputer, havia cerca de 20 tabelas no banco de dados vazado, incluindo uma tabela ‘btc_addresses’ que listava 59.975 endereços únicos de carteiras Bitcoin conectados aos pagamentos de ransomware do LockBit.
Outros dados notáveis no vazamento incluem uma tabela ‘builds’, que detalha os payloads de ransomware criados por afiliados do LockBit. A tabela inclui chaves de criptografia públicas e, em alguns casos, nomes de empresas alvo.
A tabela ‘builds_configurations’ mostrava quais arquivos ou servidores os afiliados configuravam para evitar ou criptografar em seus ataques, além de várias outras táticas operacionais usadas em campanhas anteriores de ransomware.
Como visto em uma tabela chamada ‘chats’, havia mais de 4.400 mensagens de negociação entre afiliados do LockBit e vítimas, abrangendo de 19 de dezembro de 2024 a 29 de abril de 2025.
— Ransom-DB (@Ransom_DB) Mai 8, 2025
O vazamento também expõe uma ‘tabela de usuários’ listando 75 administradores e afiliados do LockBit com acesso ao painel backend do grupo. Detetives de segurança ficaram chocados ao descobrir que as senhas dos usuários eram armazenadas em texto puro.
O pesquisador de segurança cibernética Michael Gillespie mencionou algumas das senhas expostas, incluindo “Weekendlover69”, “MovingBricks69420” e “Lockbitproud231.”
LockBitSupp, um operador conhecido do grupo LockBit, confirmou em um chat Tox com Rey que a violação era real. No entanto, o operador insistiu que nenhuma chave privada ou dados críticos haviam sido perdidos.
https://twitter.com/ReyXBF/status/1920245719434231900
Alon Gal, Chief Technology Officer da Hudson Rock, disse que os dados também incluem builds de ransomware personalizados e algumas chaves de descriptografia. De acordo com Gal, se verificadas, as chaves poderiam ajudar algumas vítimas a recuperar seus dados sem pagar resgates.
Explorando vulnerabilidades do servidor
Uma análise do despejo SQL revelou que o servidor afetado estava executando PHP 8.1.2, uma versão vulnerável a uma falha identificada como “CVE-2024-4577.” A vulnerabilidade permite execução remota de código, o que explica como os atacantes foram capazes de infiltrar e exfiltrar os sistemas backend do LockBit.
Profissionais de segurança acreditam que o estilo da mensagem de desfiguração pode ligar o incidente a uma violação recente do site de ransomware Everest, que usou a mesma frase “CRIME É RUIM”. A semelhança sugere que o mesmo ator ou grupo pode estar por trás de ambos os incidentes, embora nenhuma atribuição clara tenha sido confirmada.
Os hackers por trás da violação não se manifestaram, mas Kevin Beaumont, um grupo de segurança baseado no Reino Unido, disse que o grupo DragonForce poderia ser o responsável.
“Alguém hackeou o LockBit. Vou chutar DragonForce”, ele escreveu no Mastodon.
De acordo com a BBC, o DragonForce estaria supostamente envolvido em vários ciberataques a varejistas do Reino Unido, incluindo Marks & Spencer, Co-op e Harrods.
Em 2024, a Operação Cronos, um esforço multinacional liderado pelo Reino Unido envolvendo agências de aplicação da lei de dez países, incluindo o Federal Bureau of Investigation (FBI), interrompeu temporariamente as atividades do LockBit, embora o grupo eventualmente tenha reaparecido.
A operação supostamente derrubou 34 servidores, confiscou carteiras de criptomoedas e descobriu mais de 1.000 chaves de descriptografia.
As autoridades acreditam que os operadores do LockBit estão baseados na Rússia, uma jurisdição que tornaria difícil levá-los à justiça. Gangues de ransomware centralizam suas operações dentro das fronteiras da Rússia porque prisões diretas são quase impossíveis.
Não apenas leia notícias sobre criptomoedas. Entenda-as. Inscreva-se em nossa newsletter. É grátis.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Florence Muchai
Florence cobre notícias sobre criptoativos, jogos, tecnologia e IA há 6 anos. Sua graduação em Estudos de Computação na Meru University of Science and Technology e em Gestão de Desastres e Diplomacia Internacional no MMUST equipam-na plenamente com habilidades linguísticas, de observação e técnicas. Florence trabalhou no VAP Group e como editora em várias casas de mídia de criptoativos.
