- Группа вымогателей LockBit понесла крупный ущерб: утекло 60 000 адресов биткоин-кошельков и внутренние данные.
- Хакеры осквернили тёмные веб-панели LockBit, раскрыв чаты жертв, сборки для аффилиатов и пароли в открытом виде.
- Утечка может быть связана с группой DragonForce; специалисты по кибербезопасности указывают на уязвимость PHP CVE-2024-4577 как вектор атаки.
Группа вымогателей LockBit подверглась кибератаке, которая раскрыла ее внутренние операции. Были утекли почти 60 000 адресов кошельков Bitcoin, связанных с деятельностью группы, а также тысячи сообщений с жертвами и подробные записи из ее бэкенд-инфраструктуры.
Нарушение безопасности, впервые замеченное исследователем киберпреступности Рей в среду вечером, произошло в конце апреля 2025 года. Панели аффилированных лиц LockBit в даркнете были осквернены, заменены сообщением «Не совершайте преступлений. ПРЕСТУПЛЕНИЕ — ЭТО ПЛОХО xoxo из Праги», со ссылкой на дамп базы данных MySQL под названием «paneldb_dump.zip».
https://twitter.com/ReyXBF/status/1920220381681418713
"Базовый анализ базы данных указывает на то, что дамп был создан около 29 апреля, что предполагает, что LockBit был скомпрометирован не позднее этой даты и впоследствии осквернен 7 мая", — подтвердил Рей.
Утечка данных в дампе панели
По словам Рея, ссылающегося на анализ публикации по кибербезопасности BleepingComputer, в утеченной базе данных было около 20 таблиц, включая таблицу «btc_addresses», в которой перечислялись 59 975 уникальных адресов кошельков Bitcoin, связанных с платежами вымогателей LockBit.
Другие заметные данные в утечке включают таблицу «builds», которая детализируетpayloads вымогателей, созданные аффилированными лицами LockBit. Таблица включает открытые ключи шифрования и, в некоторых случаях, названия целевых компаний.
Таблица «builds_configurations» показала, какие файлы или серверы аффилированные лица настраивали для избегания или шифрования, а также несколько других оперативных тактик, используемых в предыдущих кампаниях вымогателей.
Как видно в одной из таблиц, названной «chats», было более 4400 сообщений о переговорах между аффилированными лицами LockBit и жертвами, охватывающих период с 19 декабря 2024 года по 29 апреля 2025 года.
— Ransom-DB (@Ransom_DB) Май 8, 2025
Утечка также раскрыла таблицу «users», содержащую список из 75 администраторов и аффилированных лиц LockBit, имеющих доступ к бэкенд-панели группы. Специалисты по кибербезопасности были шокированы, обнаружив, что пароли пользователей хранились в открытом виде.
Исследователь кибербезопасности Майкл Гиллеспи упомянул некоторые из раскрытых паролей, включая «Weekendlover69», «MovingBricks69420» и «Lockbitproud231».
LockBitSupp, известный оператор группы LockBit, подтвердил в чате Tox с Рей, что утечка реальна. Тем не менее, оператор настаивал на том, что закрытые ключи или критические данные не были утеряны.
https://twitter.com/ReyXBF/status/1920245719434231900
Алон Гал, главный технологический директор Hudson Rock, сказал, что данные также включают пользовательские сборки вымогателей и некоторые ключи дешифрования. По словам Гала, если это подтвердится, ключи могут помочь некоторым жертвам восстановить свои данные без выплаты выкупа.
Эксплуатация уязвимостей сервера
Анализ дампа SQL показал, что затронутый сервер работал под управлением PHP 8.1.2, версии, уязвимой к ошибке, идентифицированной как «CVE-2024-4577». Уязвимость позволяет удаленное выполнение кода, что объясняет, как злоумышленникам удалось проникнуть и выгрузить системы бэкенда LockBit.
Специалисты по безопасности полагают, что стиль сообщения об осквернении может связывать инцидент с недавним взломом сайта вымогателя Everest, который использовал ту же фразу «ПРЕСТУПЛЕНИЕ — ЭТО ПЛОХО». Сходство предполагает, что за обоими инцидентами стоит один и тот же актер или группа, хотя четкая атрибуция не подтверждена.
Хакеры, стоящие за взломом, не вышли на связь, но Кевин Боамент, британская группа безопасности, заявил, что за этим может стоять группа DragonForce.
"Кто-то взломал LockBit. Я бы предположил, что это DragonForce", — написал он в Mastodon.
По данным BBC, DragonForce якобы была причастна к нескольким кибератакам на британских ритейлеров, включая Marks & Spencer, Co-op и Harrods.
В 2024 году Операция Cronos, многонациональное усилие под руководством Великобритании с участием правоохранительных органов десяти стран, включая Федеральное бюро расследований (FBI), временно остановило деятельность LockBit, хотя группа в конечном итоге появилась снова.
Операция, по сообщениям, вывела из строя 34 сервера, конфисковала криптокошельки и обнаружила более 1000 ключей дешифрования.
Правоохранительные органы полагают, что операторы LockBit базируются в России, юрисдикции, в которой их будет трудно привлечь к ответственности. Группы вымогателей центрируют свои операции в пределах границ России, потому что прямые аресты практически невозможны.
Не просто читайте новости о криптовалютах. Понимайте их. Подпишитесь на нашу рассылку. Это бесплатно.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Флоренс Мучай
Флоренс уже 6 лет освещает новости в сферах криптовалют, игр, технологий и искусственного интеллекта. Её образование по специальности «Компьютерные науки» в Университете науки и технологий Меру, а также обучение управлению в чрезвычайных ситуациях и международной дипломатии в MMUST обеспечили ей отличные языковые навыки, наблюдательность и технические компетенции. Флоренс работала в группе VAP Group и была редактором в нескольких крипто-медиа.
