Hacker Group LockBit démantelé après avoir levé 120 millions de dollars en Bitcoin

LockBit, décrit par les responsables de l’application des lois comme « l’un des groupes de ransomwares les plus prolifiques au monde », a été démantelé dans le cadre d’une campagne coordonnée impliquant des responsables des États-Unis, du Royaume-Uni et d’une demi-douzaine d’autres pays, ont annoncé plusieurs agences. .

Le ministère américain de la Justice a déclassifié un acte d’accusation contre deux hommes russes, Artur Sungatov et Ivan Kondratyev, pour avoir mené des attaques LockBit contre des entreprises américaines. Sungatov aurait attaqué des fabricants, des compagnies d’assurance et d’autres entreprises dans au moins six États depuis janvier 2021.

« Aujourd’hui, les forces de l’ordre américaines et britanniques leur confisquent les clés de leurs opérations criminelles », a déclaré le procureur général américain Merrick Garland dans un communiqué du ministère de la Justice. « Et nous allons encore plus loin : nous avons également obtenu les clés de l’infrastructure LockBit saisie pour aider les victimes à décrypter leurs systèmes capturés et à retrouver l’accès à leurs données. »

Kondratyev, connu en ligne sous le nom de « Basserlord », aurait déployé le ransomware sur des cibles allant des gouvernements municipaux aux entreprises de l’Oregon, de Porto Rico et à l’étranger à partir d’août 2021.

L’Office of Foreign Assets Control (OFAC) du Département du Trésor a sanctionné Sungatov et Kondratyev, interdisant aux particuliers et aux entreprises américaines de faire des affaires avec eux et gelant tout avoir sous la juridiction américaine, et a ajouté neuf adresses de portefeuille Bitcoin et une adresse de portefeuille Ethereum. qui leur sont liés sur la liste des sanctions.

L’opération Cronos, qui a duré plusieurs mois, a abouti à la saisie de dizaines de serveurs en Europe, en Amérique du Nord et en Australie qui ont été utilisés pour mener les attaques du ransomware LockBit, qui ont crypté les données des victimes et les ont extorqués. effectuer des paiements, selon un communiqué d’Europol publié mardi.

Les autorités ont également pris le contrôle du portail du dark web sur lequel LockBit publiait des données sensibles volées aux victimes qui refusaient de payer.

« Nous avons désormais détruit l’infrastructure en ligne du groupe LockBit, l’un des gangs de ransomwares les plus prolifiques au monde », a déclaré la directrice exécutive d’Europol, Catherine De Bolle, dans le communiqué.

« La première étape pour mettre les cybercriminels derrière les barreaux est de signaler la cybercriminalité lorsqu’elle se produit », a-t-il ajouté. « Plus tôt les gens se manifesteront, plus vite les forces de l’ordre pourront évaluer les nouvelles méthodologies et limiter les dommages qu’elles peuvent causer. »

Qu’est-ce que LockBit ?

LockBit est apparu pour la première fois début 2020, utilisant un ransomware qui crypte les fichiers des victimes et les verrouille hors de leurs réseaux à moins qu’elles ne paient une rançon, généralement en cryptomonnaie. Selon l’acte d’accusation du DOJ, les paiements étaient généralement exigés en Bitcoin.

Comme d’autres gangs de ransomwares, LockBit opérait par l’intermédiaire d’un groupe central de développeurs qui créaient les outils malveillants et géraient l’infrastructure, puis recrutaient des affiliés pour infecter les cibles en échange d’une part des bénéfices. Les développeurs de LockBit maintenaient un panneau de contrôle permettant aux affiliés de lancer des attaques en quelques clics.

En 2022, LockBit a éclipsé les autres souches de ransomware pour devenir la plus largement déployée au monde, selon Europol. Le syndicat a collecté plus de 120 millions de dollars de rançons auprès de plus de 2 000 victimes dans le monde, selon le ministère de la Justice, le total des demandes pouvant atteindre des centaines de millions.

LockBit est devenu célèbre pour son recours à la « triple extorsion », menaçant les victimes non seulement avec des données cryptées, mais également avec la révélation d’informations volées et des attaques par déni de service paralysantes.

Les autorités ripostent

Le groupe de travail « Opération Cronos », composé d’organismes chargés de l’application des lois de 10 pays, sapait LockBit depuis des mois. Le tournant est survenu avec la saisie de dizaines de serveurs de commande et de contrôle sur lesquels LockBit s’appuyait pour déployer des ransomwares et gérer ses opérations. Les autorités ont désormais « pris le contrôle de l’infrastructure technique qui permet à tous les éléments du service LockBit de fonctionner », a indiqué Europol.

Ainsi, « plus de 14 000 comptes frauduleux responsables d’exfiltrations ou d’infrastructures ont été identifiés et soumis à suppression », précise l’agence.

De plus, les autorités françaises et américaines ont arrêté ou inculpé une liste croissante de membres présumés de LockBit. La Pologne a arrêté le suspect de ransomware Ivan Kondratiev en octobre 2022, tandis qu’un autre citoyen russe a été arrêté en Ukraine.

Trois mandats d’arrêt internationaux ont été émis dans le cadre de la récente offensive. Les autorités françaises ont également obtenu cinq inculpations. Pendant ce temps, les autorités ont gelé les portefeuilles de crypto-monnaie que les membres de LockBit auraient utilisés pour payer des rançons.

« Cela souligne l’engagement de perturber les incitations économiques à l’origine des attaques de ransomwares », a déclaré le DOJ.

Aider les victimes à se rétablir

Grâce au contrôle des systèmes de LockBit, les autorités ont obtenu des clés de décryptage pour aider des centaines de victimes à retrouver l’accès à leurs données.

« Nous renversons la situation contre LockBit, en fournissant des clés de décryptage, en déverrouillant les données des victimes et en poursuivant les complices criminels de LockBit dans le monde entier », a déclaré la procureure générale adjointe Lisa Monaco dans l’annonce.

Ils ont encouragé les victimes des attaques LockBit à contacter les autorités via un site Web du ministère de la Justice pour déterminer si leurs fichiers peuvent être déchiffrés.

Ces solutions sont également mises à disposition gratuitement sur le portail « No More Ransom », disponible en 37 langues. Jusqu’à présent, plus de 6 millions de victimes dans le monde ont bénéficié de No More Ransom, qui contient plus de 120 solutions capables de décrypter plus de 150 types de ransomwares.

Monaco a déclaré que l’opération marque un revers majeur pour l’un des groupes de ransomwares les plus agressifs, mais qu’elle ne sera pas la dernière action contre les cybercriminels.

« Notre enquête se poursuivra et nous restons plus déterminés que jamais à identifier et inculper tous les membres de LockBit, depuis ses développeurs et administrateurs jusqu’à ses filiales », a déclaré le procureur américain Philip Sellinger. « Nous les marquerons comme criminels recherchés. Ils ne pourront plus se cacher dans l’ombre.

Edité par Andrew Hayward