Le rançongiciel LockBit 3.0 est (déjà) de retour

Quelques jours seulement après le démantèlement de son infrastructure, le rançongiciel LockBit vient de refaire surface avec de nouvelles adresses .onion et miroirs sur le dark web du réseau TOR.

Si les noms d’une quinzaine de victimes y sont épinglés, il s'agirait, d'après LeMagIT, « en grande majorité, de revendications déjà publiées avant l’opération Cronos », du nom donné à l'opération de démantèlement, coordonnée par la National Crime Agency britannique, le FBI, Europol.

• L'infrastructure du rançongiciel LockBit a été saisie par les autorités

Clubic note qu'y figure une entreprise française « bien connue du secteur de la logistique industrielle », Groupe Idea. La société, qui emploie près de 2 000 personnes sur 70 sites en France, revendique un chiffre d’affaires de 200 millions d'euros en 2023.

LockBit menace de publier des informations sur Donald Trump

Dans un (très) long message d'explication, publié en anglais et en russe, Lockbit explique ne pas avoir maintenu ses systèmes à jour en raison d'une « négligence personnelle et d'une irresponsabilité », parce que le groupe était devenu « paresseux » et qu'il s'était laissé aller à la « complaisance ».

Il pense avoir été compromis via un exploit 0day ciblant une faille de sécurité PHP, mais n'en est pas sûr, et estime que d'autres groupes de Ransomware-as-a-Service (RaaS) pourraient, eux aussi, avoir été compromis.

Il avance que le FBI aurait saisi leurs serveurs à la suite d'une attaque par ransomware contre le comté de Fulton en janvier, parce que les « documents volés contiennent beaucoup de choses intéressantes sur des affaires judiciaires de Donald Trump qui pourraient avoir une incidence sur les prochaines élections américaines », relève HackerNews.

« Personnellement, je voterai pour Trump, car la situation à la frontière avec le Mexique est une sorte de cauchemar, Biden devrait prendre sa retraite, c’est une marionnette », précise le porte-parole de LockBit dans son communiqué.

Le journaliste spécialisé Brian Krebs souligne que le gang affirme qu'il publiera, à moins qu'une rançon ne soit payée, les données volées du comté de Fulton, situé dans l'État de Géorgie, aux USA. Initialement prévue pour le 2 mars, la divulgation a ensuite été rapprochée au 29 février.

LockBit avait piraté le comté ayant inculpé Donald Trump

Le 14 août 2023, un grand jury du comté de Fulton avait en effet inculpé Trump de 13 chefs d'accusation pour – entre autres crimes – racket après que des responsables de la campagne Trump ont accédé aux machines à voter avec des responsables électoraux.

Le 24 août, Trump y avait été placé en état d'arrestation, incarcéré à la prison du comté de Fulton et libéré sous caution, avant de publier la photographie d'identité judiciaire (« mugshot ») sur son site Web de sa campagne avec un argumentaire de collecte de fonds.

Krebs note que la divulgation avait déjà été annoncée pour le 16 février dernier, avant que LockBit n'en retire la mention, sans explication. D'ordinaire, ce genre de retrait n'apparaît qu'après le paiement d'une rançon. Or, le comté de Fulton a précisé qu'il « ne pouvait pas, en toute conscience, utiliser l'argent des contribuables du comté de Fulton pour payer une rançon ».

Krebs doute par ailleurs que la saisie des serveurs de Lockbit puisse être liée aux documents mentionnant Donald Trump, Europol ayant expliqué qu'elle résultait d'une infiltration ayant duré plusieurs mois.

ZDNet relève que Pascal Péresse, chef du C3N (Centre de lutte contre les criminalités numériques), qui fait partie de l’unité nationale cyber de la gendarmerie nationale, souligne de son côté que la décision de réaliser ce coup d’arrêt à LockBit avait été prise collectivement « il y a deux mois » par les différents partenaires policiers impliqués dans l’identification et la saisie des infrastructures du groupe criminel.

Le FBI évoque des revenus supérieurs à 100 millions de dollars

Dans son message décousu d'explication, LockBit se vante que « Le FBI déclare que mes revenus sont supérieurs à 100 millions de dollars, c'est vrai […]. Ces chiffres montrent que je suis sur la bonne voie, que même si je fais des erreurs, cela ne m'arrête pas, je corrige mes erreurs et continue de gagner de l'argent. Cela montre qu'aucun hack du FBI ne peut empêcher une entreprise de prospérer, car ce qui ne me tue pas me rend plus fort. »

« Je suis très heureux que le FBI m'ait remonté le moral, m'ait donné de l'énergie et m'ait fait oublier les divertissements et les dépenses, il est très difficile de s'asseoir devant l'ordinateur avec des centaines de millions de dollars, la seule chose qui me motive à travailler, ce sont des concurrents forts et le FBI », poursuit-il.

Les États-Unis offrent jusqu'à 15 millions de dollars de récompense

Bravache, il avance que « toutes les actions du FBI visent à détruire la réputation de mon programme d'affiliation, ma démoralisation, ils veulent que je parte et que je quitte mon travail, ils veulent me faire peur parce qu'ils ne peuvent pas me trouver et m'éliminer, je ne peux pas être arrêté, vous ne pouvez pas ».

« Je ne suis pas sûr que le FBI ne sache pas qui je suis », a expliqué à Brian Krebs LockBitSupp, le porte-parole du gang : « Je crois simplement qu'ils ne me trouveront jamais ».

La semaine passée, le Département d'État avait annoncé des récompenses allant jusqu'à 15 millions de dollars en échange d'informations menant à l'arrestation et/ou à la condamnation d'individus ayant participé aux attaques du ransomware LockBit : jusqu'à 10 millions de dollars pour des informations au sujet des leaders de LockBit, et jusqu'à 5 millions de dollars pour des informations sur leurs affiliés.