LockBit
LockBit to nazwa, pod którą przez lata działała jedna z najbardziej rozpoznawalnych operacji ransomware w modelu RaaS (ransomware as a service). Rdzeń rozwijał kod, panel i stronę wyciekową. Ataki prowadzili afilianci: osobni operatorzy dopuszczeni do programu. Marka sugerowała zwartą ekipę. W praktyce była platformą i logo, pod którym dwie kampanie mogły wyglądać zupełnie inaczej.
Początki sięgają końca 2019 (wcześniej jako ABCD). W kolejnych latach grupa rosła w podwójnym wymuszeniu: szyfrowanie plus groźba publikacji skradzionych danych. Osobna usługa StealBit służyła do wynoszenia plików. Nie opisuję tu użycia. Dla śledztwa liczyło się, że była częścią wspólnego zaplecza.
Operation Cronos, luty 2024
19 lutego 2024 na stronie wyciekowej zamiast listy ofiar pojawił się komunikat brytyjskiej National Crime Agency. Dzień później operacja dostała nazwę: Cronos. Międzynarodowy zespół (NCA, Europol, FBI i partnerzy) przejął fragment infrastruktury administracyjnej, serwery i dane o afiliantach. Europol mówił o wyłączeniu dziesiątek serwerów w kilku państwach. Przejęto też materiał, który mógł pomóc części ofiar w odzyskaniu plików.
To nie była zwykła blokada domeny. Służby weszły w zaplecze usługi. LockBit wrócił jednak z nową stroną w ciągu dni. Cronos zniszczył infrastrukturę, podważył zaufanie afiliantów i odsłonił trop do administratora. Nie wyzerował problemu ransomware jako klasy.
Pełniejszy rozbiór: Operacja Cronos. LockBit.
LockBitSupp i Khoroshev
Publiczna persona administratora, LockBitSupp, została w materiałach śledczych powiązana z Dimitrym Jarosławowiczem Choroszewem (w angielskich dokumentach: Khoroshev). Akty oskarżenia i komunikaty Departamentu Sprawiedliwości USA opisywały skalę ofiar idącą w tysiące oraz płatności okupów liczone w setkach milionów dolarów. Liczby z różnych etapów dochodzenia nie sklejają się w jedną księgowość. Pokazują rząd wielkości, na który państwa wyłożyły kosztowną operację.
Aresztowania afiliantów, zamrożenia kont kryptowalutowych i nakazy w kilku jurysdykcjach szły równolegle z przejęciem serwerów. RaaS jest siecią ról. Uderzenie w panel boli wszystkich; nie każdego zatrzymuje.
Co z tego wynika poza logo
LockBit jest przykładem, nie wyjątkiem. Model “platforma plus afilianci” powtarza się u innych marek. Obrona firmowa (backup offline, segmentacja, 2FA, łatanie) adresuje klasę zagrożenia, nie jeden nick. Porównania narzędzi konsumenckich typu VPN są na rankingach; to osobna półka niż incident response po ransomware.
Threat model wobec RaaS zakłada przeciwnika z czasem na ruch boczny i na niszczenie kopii zapasowych. Hasło ransomware opisuje mechanikę. LockBit jest nazwą, którą ta mechanika nosiła w latach szczytu. Cronos pokazał też limit: przejęcie infrastruktury boli markę, ale ludzie i know-how rozchodzą się dalej. Stąd brak happy endu w jednym komunikacie prasowym.
Nie ma tu instrukcji ataku ani mapy paneli. Jest kotwica do czytania raportów NCA, Europolu i DOJ bez mylenia logo z pojedynczym człowiekiem za klawiaturą.