Le gang LockBit Ransomware s'est démantelé après avoir récupéré 120 millions de dollars en Bitcoin

LockBit, décrit par les forces de l'ordre « comme l'un des gangs de ransomwares les plus prolifiques au monde », a été démantelé dans le cadre d'une campagne coordonnée impliquant des responsables des États-Unis, du Royaume-Uni et d'une demi-douzaine d'autres pays, ont annoncé aujourd'hui plusieurs agences.

Le ministère américain de la Justice a dévoilé un acte d'accusation contre deux hommes russes, Artur Sungatov et Ivan Kondratyev, pour avoir mené des attaques LockBit contre des entreprises américaines. Sungatov aurait frappé des fabricants, des compagnies d'assurance et d'autres sociétés dans au moins six États depuis janvier 2021.

infrastructure LockBit saisie pour aider les victimes à décrypter leurs systèmes capturés et à retrouver l'accès à leurs données. »

Kondratyev, connu en ligne sous le nom de « Basserlord », aurait déployé le ransomware sur des cibles allant des gouvernements municipaux aux entreprises de l'Oregon, de Porto Rico et à l'étranger à partir d'août 2021.

La portée mondiale de l’opération Cronos visant à éliminer LockBit. Image : EuropolL'Office of Foreign Assets Control (OFAC) du Département du Trésor a sanctionné Sungatov et Kondratyev, interdisant aux particuliers et aux entreprises américains de faire des affaires avec eux et gelant tout avoir sous la juridiction américaine, et a ajouté neuf adresses de portefeuille Bitcoin et une adresse de portefeuille Ethereum qui leur sont liées à la liste des sanctions..

L'opération Cronos, qui a duré plusieurs mois, a abouti à la saisie de dizaines de serveurs en Europe, en Amérique du Nord et en Australie qui ont été utilisés pour mener les attaques de ransomware de LockBit, qui ont crypté les données des victimes et leur ont extorqué des paiements, selon une annonce publiée mardi. d'Europol.

Les autorités ont également pris le contrôle du portail du dark web où LockBit publiait des données sensibles volées aux victimes qui refusaient de payer.

« Nous avons désormais détruit l'épine dorsale en ligne du groupe LockBit, l'un des gangs de ransomwares les plus prolifiques au monde », a déclaré la directrice exécutive d'Europol, Catherine De Bolle, dans le communiqué.

« La première étape pour mettre les cybercriminels derrière les barreaux est de signaler la cybercriminalité lorsqu’elle se produit », a-t-elle ajouté. « Plus les gens le signalent tôt, plus vite les forces de l’ordre sont en mesure d’évaluer les nouvelles méthodologies et de limiter les dégâts qu’elles peuvent causer. »

Qu’est-ce que LockBit ?

LockBit est apparu pour la première fois début 2020, utilisant un ransomware qui crypte les fichiers des victimes et les verrouille hors de leurs réseaux à moins qu'elles ne paient une rançon, généralement en cryptomonnaie. Selon l’acte d’accusation du DOJ, les paiements étaient généralement exigés en Bitcoin.

Comme d’autres gangs de « ransomware-as-a-service », LockBit opérait par l’intermédiaire d’un groupe central de développeurs qui créaient les outils malveillants et géraient l’infrastructure, puis recrutaient des affiliés pour infecter les cibles en échange d’une part des bénéfices. Les développeurs de LockBit maintenaient un tableau de bord permettant aux affiliés de lancer des attaques en quelques clics.

En 2022, LockBit a éclipsé les autres souches de ransomware pour devenir la plus largement déployée au monde, selon Europol. Le syndicat a récolté plus de 120 millions de dollars en rançons auprès de plus de 2 000 victimes dans le monde, selon le ministère de la Justice, le total des demandes atteignant probablement des centaines de millions.

LockBit est devenu célèbre pour son recours à la « triple extorsion », menaçant les victimes non seulement avec des données cryptées, mais également avec des informations volées et des attaques par déni de service paralysantes.

Les autorités ripostent

Le groupe de travail « Opération Cronos », composé d'organismes chargés de l'application des lois de 10 pays, s'est attaqué à LockBit pendant des mois. Le tournant est survenu avec la saisie de dizaines de serveurs de commande et de contrôle sur lesquels LockBit s’appuyait pour déployer des ransomwares et gérer ses opérations. Les autorités ont désormais « pris le contrôle de l’infrastructure technique qui permet à tous les éléments du service LockBit de fonctionner », selon Europol.

En conséquence, « plus de 14 000 comptes malveillants responsables d’exfiltration ou d’infrastructures ont été identifiés et renvoyés pour suppression », a indiqué l’agence.

En outre, des responsables français et américains ont arrêté ou porté plainte contre une liste croissante de membres présumés de LockBit. La Pologne a arrêté le suspect de ransomware Ivan Kondratiev en octobre 2022, tandis qu'un autre ressortissant russe a été arrêté en Ukraine.

Trois mandats d'arrêt internationaux ont été émis dans le cadre de la récente offensive. Les autorités françaises ont également obtenu cinq actes d'accusation. Les autorités ont entre-temps gelé les portefeuilles de crypto-monnaie que les membres de LockBit auraient utilisés pour payer des rançons.

« Cela souligne l'engagement de perturber les incitations économiques à l'origine des attaques de ransomware », a déclaré le DOJ.

Aider les victimes à se rétablir

Grâce au contrôle des systèmes de LockBit, les autorités ont obtenu des clés de décryptage pour aider des centaines de victimes à retrouver l'accès à leurs données.

« Nous renversons la situation sur LockBit, en fournissant des clés de décryptage, en déverrouillant les données des victimes et en poursuivant les filiales criminelles de LockBit dans le monde entier », a déclaré la procureure générale adjointe Lisa Monaco dans l'annonce.

ordre via un site Web du ministère de la Justice pour déterminer si leurs fichiers peuvent être déchiffrés.

Ces solutions sont également mises à disposition gratuitement sur le portail « No More Ransom », disponible en 37 langues. Jusqu'à présent, plus de 6 millions de victimes à travers le monde ont bénéficié de No More Ransom, qui contient plus de 120 solutions capables de décrypter plus de 150 types de ransomwares.

Monaco a déclaré que l'opération constituait un revers majeur pour l'un des groupes de ransomwares les plus agressifs, mais ne serait pas la dernière action contre les cybercriminels.

depuis ses développeurs et administrateurs jusqu'à ses sociétés affiliées », a déclaré le procureur américain Philip Sellinger. « Nous les mettrons en lumière en tant que criminels recherchés. Ils ne se cacheront plus dans l’ombre.