El grupo de ransomware LockBit, que estuvo detrás de algunos de los incidentes de seguridad más importantes de los últimos años, ha sido "eliminado" y su infraestructura incautada en una operación policial global encabezada por la Agencia Nacional contra el Crimen del Reino Unido (NCA).

En el momento de redactar este informe, los detalles precisos sobre la naturaleza de la acción, denominada Operación Cronos, son escasos a la espera de una conferencia de prensa oficial que se celebrará en la mañana del martes 20 de febrero. Sin embargo, la NCA confirmó por correo electrónico que había llevado a cabo una "operación internacional significativa" contra el operador de ransomware.

Otras operaciones involucradas incluyen el FBI de Estados Unidos y agencias de Australia, Canadá y Japón, y varios estados de la Unión Europea (UE) que trabajan a través de Europol. 

Parece que las fuerzas del orden han incautado y/o eliminado, como mínimo, 22 sitios Tor. El mismo grupo del ransomware ha emitido un mensaje a las personas en Tox (en ruso): 

Un aviso publicado en el sitio de filtración de la red oscura del grupo LockBit dice: "Este sitio ahora está bajo el control de la Agencia Nacional contra el Crimen del Reino Unido, trabajando en estrecha cooperación con el FBI y el grupo de trabajo internacional de aplicación de la ley, Operación Cronos". 

Podemos confirmar que los servicios de LockBit se han visto interrumpidos como resultado de la acción policial internacional; esta es una operación en curso y en desarrollo".

Además que los sitios utilizados por LockBit para "negociar" con sus víctimas también están caídos, aunque otros elementos de la operación de la pandilla parecen estar funcionando. 

Según se informa, el ataque a la banda criminal se llevó a cabo explotando CVE-2023-3824.

"El FBI estropeó los servidores que utilizan PHP, los servidores de copia de seguridad sin PHP no están afectados", dijo LockBit en un mensaje a las personas en Tox.

El vicepresidente de la Unidad Contra Amenazas de SecureWorks, Don Smith, que se gana la vida persiguiendo bandas de ransomware, describió la eliminación como "fantástica". "En un mercado altamente competitivo y despiadado, LockBit se convirtió en el operador de ransomware más prolífico y dominante. Abordó el ransomware como una oportunidad de negocio global y alineó sus operaciones en consecuencia, escalando a través de afiliados a un ritmo que simplemente eclipsó otras operaciones", dijo Smith.

Para poner en contexto la caída de hoy, según los datos del sitio de filtración, LockBit tenía una participación del 25% del mercado de ransomware. Su rival más cercano fue AlphV/BlackCat con alrededor del 8,5% y después de eso realmente comienza a fragmentarse. LockBit eclipsó a todos los demás grupos y la acción de hoy es muy significativa. 

•      Incautado 34 servidores LockBit;
•     Identificado y cerrado más de 14.000 cuentas en línea y de alojamiento web utilizadas en ataques anteriores contra LockBit.
•     Se han incautado de más de 200 cuentas de criptomoneda que contenían rescates anteriores;
•     Detenido a dos afiliados en Polonia y Ucrania;
•     e inculpó a otros dos ciudadanos rusos.

Smith agregó: "Las alianzas de los afiliados de LockBit con el grupo ya eran volubles y, por lo tanto, si bien algunos pueden ser disuadidos, desafortunadamente muchos probablemente se alinearán con otras organizaciones criminales".

LockBit, descrito por el Centro Nacional de Seguridad Cibernética (NCSC) como una "amenaza duradera", surgió por primera vez a principios de 2020 y en 2022 se había convertido en una de las operaciones de ransomware como servicio más activas del mundo.

La NCA se ha comprometido a ponerse en contacto con las víctimas de Reino Unido para que puedan utilizar las claves para las que se prevé que estas sean añadidas a la página “No More Ransom” que controla la Europol. Las víctimas de ataques podrán utilizar este recurso para descubrir las últimas claves de descifrado de LockBit. Y se alienta a las víctimas de este malware a comunicarse con el FBI en https://lockbitvictims.ic3.gov/ para permitir que las autoridades determinen si los sistemas afectados se pueden descifrar con éxito.

KONDRATIEV, Ivan Gennadievich (Cyrillic: КОНДРАТЬЕВ, Иван Геннадьевич) (a.k.a. KONDRATEV, Ivan; a.k.a. KONDRATYEV, Ivan; a.k.a. "@AL3XL7"; a.k.a. "@BASSTERLORD"; a.k.a. "@BASSTERLORD 0170742922"; a.k.a. "@SINNER6546"; a.k.a. "@SINNER911"; a.k.a. "BASSTERLORD"; a.k.a. "EDITOR"; a.k.a. "FISHEYE"; a.k.a. "INVESTORLIFE1"; a.k.a. "JACKROCK#3337"; a.k.a. "SIN998A"), Novomokovsk, Russia; DOB 08 Apr 1996; nationality Russia; Email Address sinner4iter@gmail.com; 

• Ivan Gennadievich Kondratiev, "Bassterlord" y "Fisheye", de nacionalidad rusa y residente en Novomokovsk (Rusia), es un afiliado de LockBit y líder del subgrupo de afiliados de LockBit, la National Hazard Society

Además, la operación también busca tomar contacto con los afiliados del grupo y, cuando un afiliado de Lockbit intenta iniciar sesión en su panel, vé el siguiente mensaje: 

También ha permitido a las fuerzas del orden descubrir que los desarrolladores del ransomware estaban trabajando en una nueva versión de su malware de cifrado de archivos, denominado LockBit-NG-Dev, que probablemente se convertirá en LockBit 4.0.

"El descubrimiento del nuevo cifrador LockBit es otro golpe que las fuerzas del orden asestaron a los operadores de LockBit a través de la Operación Cronos. Incluso si los servidores de respaldo siguen estando controlados por la pandilla, restaurar el negocio cibercriminal debería ser un complicado desafío cuando los investigadores de seguridad conocen el código fuente del malware cifrado", indica el medio estadounidense.

LockBit niega su desarticulación: "¡Somos un imperio!"

Sin embargo, LockBit ha publicado este miércoles un mensaje en su canal oficial de Telegram en el que niega haber sido desarticulado

"Hemos aprendido de los errores de otros. En el pasado, las personas podían ser identificadas y detenidas, y a través de una persona se podían revelar todos los detalles de la organización, pero ese ya no es el caso. ¡Somos un imperio!", aclama el grupo.

"Nuestros miembros están separados entre sí y se encuentran en todos los países del mundo (ingenieros, carpinteros, herreros, médicos, jueces). Tenemos diferentes clases y edades. No hay conexión entre uno y otro. ¡No solo utilizamos computadoras! Utilizamos de todo y todo tipo de capacidades", continua su mensaje, según recoge el citado medio agregando que el grupo también asegura tener "agentes secretos en todo el mundo" y hace una invitación formal para acoger a nuevos miembros. "Parece que el mundo se ha dado cuenta del peligro demasiado tarde", apunta LockBit.

 Fuentes:

https://blog.segu-info.com.ar/2024/02/europol-derriba-los-sitios-del.html

https://www.escudodigital.com/ciberseguridad/grupo-ransomware-lockbit-niega-desarticulado-somos-imperio_58171_102.html