LockBit est un rançongiciel utilisé depuis 2019. Par extension, c'est aussi le nom du groupe de pirates qui l'exploite.
Le groupe cybercriminel LockBit, formé en , se distingue par une structure et des critères de recrutement basés sur la réputation et les compétences techniques. LockBit est à l'origine de attaques dans le monde depuis 2020. LockBit 3.0 a notamment attaqué de grandes entreprises stratégiques comme Thales, Continental et TSMC.
En , une opération de police internationale (« opération Cronos ») met un coup de frein aux opérations du groupe. Le , la National Crime Agency du Royaume-Uni (NCA), le FBI et Europol annonce avoir démasqué et sanctionné le leader de LockBit Dmitry Khoroshev, alias LockBitSupp. D'après les données récupérées dans les systèmes de LockBit : .
Description Le logiciel malveillant Lockbit était auparavant connu sous le nom de ".abcd", d'après l'extension de fichier qui était ajoutée aux fichiers chiffrés lorsqu'ils étaient rendus inaccessibles..
Le développement de la version LockBit 2.0 date de 2021..
La version LockBit 3.0 date de et fonctionne en version Linux et Windows. Elle embarque un système intégré de communications entre le groupe et sa cible, avec des négociations rendues publiques. Comme beaucoup de rançongiciels, il est disponible dans une version RaaS « Ransomware as a service ». Les membres du groupe procèdent habituellement à une double extorsion (exfiltration des données puis chiffrement de celles-ci), d'autres à une triple extorsion (attaque DDoS en plus). En complément de Lockbit 3.0, qui chiffre les données des serveurs, Stealbit procède à leur exfiltration..
En 2022, LockBit est le rançongiciel numéro un en nombre d'attaques revendiquées.. Fin 2022, il devient le rançongiciel le plus actif avec environ 200 attaques mensuelles issues de ses affiliés..
En , le code source du rançongiciel est dévoilé sur GitHub, probablement par un développeur en désaccord avec le groupe.. À la suite de cette divulgation du code source, de nombreux groupes de pirates se le sont appropriés et en ont tiré profit sans avoir à payer de droits au groupe LockBit. En , Kaspersky estime que près de 400 versions du rançongiciel sont désormais dans la nature..
En , le groupe confirme au média Bleeping Computer qu'il travaille sur une version pour Mac..
Histoire du groupe cybercriminel
Développement du groupe Il est né le .
Russophone, il revendique le fait que ses membres soient nés dans d'anciennes républiques soviétiques. De ce fait, il ne s'en prend pas aux intérêts russes, ni à ceux de pays de l'ex-URSS. Par extension et afin d'avoir la paix avec le pouvoir russe en place, ses alliés sont laissés tranquilles. C'est pourquoi l'attaque de contre un journal chinois apparaît comme singulière.. Comparé à ses concurrents, le groupe LockBit apparaît comme beaucoup mieux organisé, imitant la structure des startups. Au sein du programme destiné à ses affiliés, le groupe LockBit va jusqu'à préciser les cibles à éviter afin de ne pas s'attirer les foudres des forces de l'ordre : les secteurs de la santé, de l'éducation et du pétrole.
Il recrute ses affiliés sur un forum, en fonction de leur réputation et leur demande le versement d'une sorte de droit d'entrée en bitcoins. Les compétences techniques et les antécédents dans le domaine du hacking sont également vérifiés. Par ailleurs, dans le but d'améliorer son logiciel et de ne pas être attaqué, le groupe a ouvert un bug bounty permettant de rémunérer les découvreurs de failles de sécurité dans l'architecture de Lockbit 3.0...
Le , un membre du groupe, mécontent, décide de publier sur internet (via un message Twitter) le code source de LockBit 3.0. À la suite de cette fuite, un groupe de pirates concurrents va se former : Bl00dy. L'attaque de Thales opérée en sera comme une forme de renaissance à la suite de la publication du code de leur rançongiciel..
En , la police canadienne arrête un ressortissant russo-canadien de 33 ans, Mikhail Vasiliev, soupçonné d'être un acteur majeur du groupe LockBit. L'étude du matériel saisi montre que ce hacker aurait été impliqué dans plus d'une centaine d'affaires en France, et lié à plusieurs groupes de pirates (Lockbit mais aussi Blackcat, Ragnarlocker, Darkside et d'autres)... Mikhail Vasiliev est jugé par un tribunal de l'Ontario (Canada) en , où il est condamné à une peine de 4 ans de prison et d'amende.. Mais ce n'est que le début d'un périple qui doit mener Mikhail Vasiliev aux États-Unis dans l'état du New Jersey, puis en France..
En , le FBI offre une récompense de 10 millions de dollars pour toute information sur Mikhail Pavlovich Matveev (connu sous le pseudonyme de « Wazawaka »). Selon le FBI, il serait un membre actif du cybercrime et participerait au développement et à l'évolution des rançongiciels..
En , sept agences internationales de cyber-sécurité (France, Nouvelle-Zélande, États-Unis, Royaume-Uni, Canada, Allemagne, Australie) mutualisent leurs efforts pour faire front commun contre le groupe : elles publient un mode d'emploi à destination des entreprises afin qu'elles se protégent de ce rançongiciel..
Le la police américaine arrête, en Arizona, un ressortissant russe originaire de Tchétchénie : Ruslan Magomedovich Astamirov (20 ans), soupçonné d'appartenir au collectif LockBit et d'avoir participé à des attaques au rançongiciel entre 2020 et 2023..
Opération Cronos Le , Europol et la National Crime Agency ont coordonné une opération mondiale destinée à mettre fin aux activités du groupe. Il s'agit d'une opération de longue haleine (commencée en 2022 avec Eurojust), à la demande des autorités françaises. Deux membres du gang sont arrêtés en Pologne et en Ukraine alors que les autorités judiciaires françaises et américaines ont émis trois mandats d'arrêt internationaux et cinq actes d'accusation..
Cette opération permet le démantèlement de 34 serveurs et la saisie de plus de clés de déchiffrement dans de nombreux pays européens, aux États-Unis et jusqu'en Australie. La saisie de ces clés a permis le développement d'un outil de déchiffrement gratuit, mis à disposition du public via le portail No more ransom. Par ailleurs, près de 200 portefeuilles de crypto-monnaie ont été saisis, ce qui permet d'envisager un dédommagement éventuel des victimes de ce rançongiciel. La saisie des serveurs a permis de mettre la main sur le code source du rançongiciel, les données volées aux victimes et la liste de celles-ci. D'autre part, cette saisie a également permis de comprendre l'infrastructure de gestion des affiliés, de divers partenaires et de saisir des sites dans le dark web (« Onionland »). Ce « coup de filet » a aussi montré que les développeurs de LockBit étaient en train de construire une version nouvelle de leur système malveillant de cryptage de fichiers, . Selon la NCA, le groupe LockBit comptait en 2024 au moins 188 « affiliés ». La société de sécurité Trend Micro a publié une analyse technique approfondie du code source de ce malware, analyse qui en révèle les paramètres de configuration complets. Les données récupérées dans les systèmes de LockBit par les enquêteurs montrent qu'.
Les dirigeants du groupe sont toujours en liberté, et ils disposent probablement de serveurs de sauvegarde ; mais l'opération Cronos a mis un sérieux frein à leurs activités illégales.. Pour capturer le chef du groupe, dit LockBitSupp, le FBI propose, dans le cadre du programme TOCRP (Transnational Organised Crime Rewards Programme), 15 millions de dollars pour toute information menant à sa capture.. LockBit pourrait tenter de se reconstituer (au , Ars Technica note que le ransomware LockBit continuait de se propager)... Mais les agences internationales annoncent qu'elles resteront « vigilantes » et ne « cesseront pas leurs efforts pour cibler ce groupe et ses associés »..
En , Rostislav Panev, probablement un développeur du groupe, est arrêté à Haïfa en Israël. Des liens entre lui et l'administrateur « LobkBitSupp » ont été identifiés au travers d'échanges de messages. Une demande d'extradition vers les États-Unis est en cours.
LockBit Black Ransomware Campaign Pour se remettre de l'opération Cronos, LockBit lance, en , une opération de phishing nommée LockBit Black Ransomware Campaign. LockBit mobilise les ressources du botnet Phorpiex pour diffuser des emails qui serviront eux-mêmes à diffuser des logiciels malveillants qui permettront d'obtenir des informations utilisables pour les prochaines campagnes de rançongiciel. Cette opération a été découverte par la ...
Identité du chef de gang Le , le FBI, la NCA et Europol annoncent avoir démasqué et sanctionné le leader de LockBit et révèlent son identité. Il s'agit de Dmitry Yuryevitch Khoroshev (Дмитрий Юрьевич Хорошев), alias LockBitSupp ou putinkrab, , tant il était certain de pouvoir préserver son anonymat. Il occupe les fonctions de créateur, développeur et administrateur du groupe LockBit. Il est alors soumis à une série de gels d'avoirs et à des interdictions de voyager .. De son côté, la justice américaine a promis une récompense pouvant atteindre de dollars .......
2024 - Dans une opération concertée entre plusieurs services de police européens, un membre de LockBit a été arrêté en France, deux personnes au Royaume-Uni et une en Espagne. Neufs serveurs ont, par ailleurs, été saisis..
En , un hébergeur utilisé par les rançongiciels de LockBit et Conti est démantelé aux Pays-Bas.
Le le groupe LockBit est victime d'une cyberattaque qui fait fuiter de nombreuses données parmi lesquelles figurent bitcoin utilisées par les hackers du groupe..
En un membre ukrainien du groupe est arrêté en Ukraine..
En un chercheur en cybersécurité met à jour un serveur de l'infrastructure LockBit 5.0, opérationnelle depuis septembre dernier.
Principales attaques Selon les pays, LockBit est responsable d'entre 16 % et 27 % des attaques par rançongiciel en fonction du pays. Depuis 2020, LockBit représente attaques dans le monde. En France le groupe est à l'origine de 69 piratages en 2022 et 2023. Selon le gouvernement britannique, entre et le groupe totalise attaques et de dollars de rançons extorquées.
En 2022
En , le groupe d'électronique Thales figure parmi les victimes de Lockbit 2.0..
En , les services administratifs et de gestion de La Poste Mobile sont attaqués.
En , l'hôpital de Corbeil Essonnes est visé avec une demande de rançon de 10 millions de dollars..
Le , les pirates du groupe revendiquent des cyberattaques contre 28 organismes, dont 12 concerneraient des organismes français..
En , le groupe Lockbit revendique l'attaque de , un groupe de revendeurs automobiles au Royaume-Uni. Le montant de la rançon pour déchiffrer les fichiers et ne pas révéler leur contenu est de 60 millions de dollars..
Le , le groupe de pirates revendique avoir attaqué pour la deuxième fois le groupe Thales. Lockbit ne demande pas de rançon mais affiche un décompte se terminant le , date à laquelle les données seront publiées. Ils proposent leur assistance aux clients de Thales qui seraient affectés par ce vol, afin qu'ils puissent porter plainte contre Thales, un groupe .. Le , le groupe LockBit 3.0 publie les informations volées sur le darknet. L'archive de contient des informations relatives aux contrats de Thales en Italie et en Malaisie...
En , l'équipementier allemand Continental subit une attaque du groupe LockBit 3.0. En , sans réponse à sa demande de rançon, le groupe publie une partie des données volées et propose l'accès à la totalité des données pour 50 millions d'euros. Parmi les données piratées, on trouve la vie privée des salariés du groupe, mais aussi les échanges avec les constructeurs automobiles allemands. Au-delà du vol de données, le danger est d'ouvrir la voie à l'espionnage industriel. En effet parmi les échanges avec Volkswagen, on trouve les aspects informatiques sur lesquels Volkswagen souhaitait que Continental s'investisse : de la conduite automatisée au divertissement..