Hackeando o Hacker: Administração do Lockbit Ransomware é hackeado

13/05/2025 mindsecblog Notícias 0

Administração do Lockbit Ransomware é hackeado. Painel de administração do LockBit Ransomware é hackeado e vazamentos revelam detalhes internos.

Mensagens privadas, endereços de Bitcoin, dados de vítimas e informações do invasor vazaram depois que alguém invadiu um painel de administração do LockBit.

Informações que podem ser altamente valiosas para as autoridades policiais e a comunidade de segurança cibernética vazaram depois que alguém invadiu um painel de administração usado pela operação de ransomware LockBit.

O hack veio à tona em 7 de maio, quando um domínio associado a um painel de administração do LockBit foi desfigurado para exibir a mensagem “Não cometa crimes, o crime é ruim, beijos de Praga”. A página desfigurada também incluía um link para um arquivo compactado contendo informações retiradas do servidor comprometido.

Os dados vazados incluem mensagens privadas entre afiliados da LockBit e vítimas, endereços de carteiras de Bitcoin, contas de afiliados, detalhes sobre ataques e informações sobre malware e infraestrutura.

Vários especialistas em segurança cibernética analisaram os dados vazados. Christiaan Beek, diretor sênior de análise de ameaças da Rapid7, observou que os endereços de Bitcoin podem ser úteis para as autoridades policiais.

Além disso, Luke Donovan, chefe de inteligência de ameaças da Searchlight Cyber, explicou como os dados vazados podem ser valiosos para a comunidade de segurança cibernética.

O especialista afirmou que os dados de usuários incluídos no vazamento provavelmente pertencem a afiliados ou administradores da operação de ransomware. A Searchlight Cyber identificou 76 registros, incluindo nomes de usuários e senhas, nos dados publicados.

“Esses dados de usuários serão valiosos para pesquisadores de segurança cibernética, pois nos permitem aprender mais sobre as afiliadas da LockBit e como elas operam. Por exemplo, desses 76 usuários, 22 têm IDs TOX associadas a eles, que é um serviço de mensagens popular na comunidade hacker”, disse Donovan.

Ele acrescentou: “Esses IDs TOX nos permitiram associar três dos usuários vazados a pseudônimos em fóruns de hackers, que usam os mesmos IDs TOX. Ao analisar suas conversas em fóruns de hackers, poderemos aprender mais sobre o grupo, por exemplo, os tipos de acesso que eles compram para organizações de hackers.”

O Searchlight Cyber identificou 208 conversas entre afiliadas da LockBit e vítimas. As mensagens, que abrangem o período entre dezembro de 2024 e abril de 2025, podem ser “valiosas para aprender mais sobre como as afiliadas da LockBit negociam com suas vítimas”.

De fato, Beek, do Rapid7, destacou que os chats vazados mostram o quão agressivos os afiliados da LockBit foram durante as negociações de resgate.

“Em alguns casos, as vítimas foram pressionadas a pagar apenas alguns milhares de dólares. Em outros, o grupo exigiu muito mais: US$ 50.000, US$ 60.000 ou até US$ 100.000”, disse Beek.

Quanto a quem está por trás do hack do LockBit, Donovan, da Searchlight Cyber, destacou que a mensagem de desfiguração é a mesma exibida no mês passado no site hackeado de um grupo de ransomware diferente, o Everest .

“Embora não possamos ter certeza neste momento, isso sugere que o mesmo ator ou grupo estava por trás do hack em ambos os sites e implica que esse vazamento de dados é resultado de disputas internas na comunidade de criminosos cibernéticos”, disse o especialista.

Uma declaração publicada no site de vazamentos da LockBit em 8 de maio confirmou o comprometimento de um painel de administração, mas minimizou o impacto, dizendo que os decodificadores ou dados confidenciais das vítimas não foram afetados.

LockBitSupp , o mentor por trás da operação LockBit, que as autoridades dizem ser o cidadão russo Dmitry Yuryevich Khoroshev, disse que está disposto a pagar por informações sobre a identidade do indivíduo que realizou o ataque.

Agências policiais no mundo todo têm tomado medidas para interromper o LockBit, mas, apesar do grande golpe dado no ano passado, a operação de crimes cibernéticos ainda está ativa e continua representando uma ameaça às organizações.

Fonte: SecurityWeek