Lockbit Ransomware meldet sich zurück

Bleeping Computer berichtet, dass die Lockbit-Gruppe ihre Ransomware-Operation auf einer neuen Infrastruktur relauncht. Weniger als eine Woche, nachdem die Strafvervolgungsbehörden die Server der Ransomware-Gruppe gehackt haben drohen also wieder verstärkt Angriffe auf den Regierungssektor.

Zitate von Rüdiger Trost, Cybersecurity-Experte von WithSecure:

„Für Lockbit ist es elementar wichtig, schnell wieder sichtbar zu sein. Opfer sind mutmaßlich weniger zahlungsfreudig, solange es Gerüchte gibt, dass die Gruppe nicht mehr einsatzfähig ist.“

„Inzwischen ist bekannt geworden, dass Lockbit entgegen eigener Aussagen die gestohlenen Daten nicht löscht. Ein Grund mehr, im Fall einer Erpressung hart zu bleiben und nicht zu zahlen.“

„Lockbit hat eine neue .onion-Leak-Site eingerichtet. Die Gruppe behauptet dort, dass die Ermittlungsbehörden für den Takedown eine PHP-Schwachstelle genutzt haben. Das ist eine PR-Aktion. Lockbit will damit den Schaden des Takedowns relativieren und Stärke zeigen.“

„Laut eigenen Angaben wurde Lockbit über eine unbekannte PHP-Schwachstelle kompromittiert. Nur Server, auf denen PHP lief, seien kompromittiert worden. Die Aussage erscheint aus zwei Gründen unglaubwürdig: Wenn sie nicht genau wissen, wie sie kompromittiert wurden, wie können sie dann sicher sein, dass es über PHP lief? Die Aussage zu den betroffenen Servern klingt nach kommunikativer Schadensbegrenzung oder ist einfach Wunschdenken.“

„Die Aktion der Ermittlungsbehörden war äußerst umfassend und zielte auf die drei Dinge ab, die die wahre Stärke einer Ransomware-as-a-Service-Marke wie Lockbit ausmachen: Die Marke selbst, die Partnerorganisationen, die die Operationen ausführen und nicht zuletzt die finanziellen Vermögenswerte der Gruppe. Der Schlag gegen die Gruppe im Darknet wurde unterstützt durch massive Aktionen in der realen Welt, um etwa Personen zu verhaften, die mit Lockbit zusammenarbeiten. Die beschlagnahmte Website wurde von den Ermittlungsbehörden verwendet, um eine Warnmeldung direkt an die Partner zu senden, die Lockbit-Leak-Site und die Marke Lockbit wurden eingesetzt, um Lockbit und Partnerorganisationen zu verhöhnen und zu verunglimpfen. Außerdem haben die Ermittlungsbehörden laut eigenen Angaben mehr als 200 Wallets mit Kryptowährungen und mehr als 1.000 Entschlüsselungscodes beschlagnahmt.“

„Zwei Dinge deuten leider darauf hin, dass Lockbit ein Comeback schaffen könnte: Viele Mitglieder von Lockbit sind wahrscheinlich in Russland oder russlandfreundlichen ehemaligen Sowjetstaaten angesiedelt und so vor internationalen Strafverfolgungsbehörden geschützt. Außerdem haben die Ermittlungsbehörden 15 Millionen Dollar Kopfgeld für Informationen ausgesetzt, die zur Identifizierung der Anführer der Lockbit-Gruppe führen – was darauf hindeutet, dass sie diese Personen derzeit leider noch nicht kennen.“