Europol, NCA en FBI nemen website ransomwarebende Lockbit in beslag

De Britse National Crime Agency heeft de website van de ransomwarebende Lockbit in beslag genomen. Onder meer Europol, de FBI en de Nederlandse, Duitse, Canadese en Franse politie werkten mee aan 'operation cronos'.

De website van Lockbit toont momenteel een afbeelding van de bijna twintig politiediensten die aan het onderzoek meewerkten. De diensten schrijven: "We kunnen bevestigen dat de services van Lockbit verstoord zijn als gevolg van internationale handhaving. Dit is een lopende operatie." Dinsdagmiddag beloven de diensten meer informatie over de operatie prijs te geven.

Volgens BleepingComputer gebruikte de bende de betreffende website om gestolen gegevens van slachtoffers te openbaren. Lockbit zou nog andere websites in gebruik hebben die tot dusver nog beschikbaar zijn. De politiediensten drongen de website binnen door middel van een PHP-exploit, maar volgens de vermeende Lockbit-leider Lockbitsupp zijn back-ups onaangetast.

Op een affiliatepagina van de bende bevestigen de politiediensten dat ze uiteenlopende gegevens hebben verzameld, zo merkt vx-underground op. Hieronder vallen ook gegevens van derden, zoals klanten die de Lockbit-ransomware onder het software-as-a-servicemodel afnamen. Onder meer slachtoffers, buitgemaakt geld, persoonsgegevens en chats zijn in beslag genomen 'dankzij de gebrekkige infrastructuur van Lockbitsupp'. De diensten zeggen dat er binnenkort contact wordt opgenomen met klanten van Lockbit.

Lockbit is een ransomwarebende die naar verluidt in Rusland is ontstaan. De afgelopen jaren heeft de groepering naar schatting duizenden ransomwareaanvallen uitgevoerd over de hele wereld, waarbij uiteenlopende bedrijven, organisaties en instanties het doelwit waren. Ook in Nederland en België werden tientallen partijen slachtoffer van de software van de bende.

Reacties (79)

[Ossebol]

Politie heeft ook actief aandeel gehad: https://www.politie.nl/ni...ansomware-groepering.html

[NaliXL]

Ik blijf het vooral bijzonder vinden dat internationale politiediensten blijkbaar nog steeds met handen gebonden zijn als het gaat om het in beslag nemen van domeinnamen. Zelfs als deze overduidelijk worden gebruikt voor criminele activiteiten.

[dev-random]

Je kunt een poging wagen contact op te nemen met de beheerder van het .onion TLD. Maar ik ben bang dat dat tegen gaat vallen.

[cYlicious]

.onion is geen klassiek TLD met een registrar. Het betreft een cryptografische structuur waarbij je jezelf een domeinnaam toe-eigent door hiervan het keypair te creëren. Je kan dus niet zomaar .onion-domeinen neerhalen.

[Dooxed]

Wat gebeurt er dan als website.onion al bestaat, en ik probeer zelf ook het keypair voor website.onion te creeren?

[Noxious]

In theorie kun je zo een domein overnemen, echter in de praktijk is dat niet uitvoerbaar, in ieder geval voorlopig nog niet. Hiervoor is onion van v2 naar v3 adressen gegaan omdat v2 adressen praktisch te brute-forcen waren.

[? ?]

Thinking out of the box:

(ik ken niks van .onion), maar:

Interpol etc kan prima Microsoft, Google en Firefox verplichten om lockbit.onion niet te resolven whatsoever. En dan bestaat de site niet meer. Niks distri tld of dns nodig.

[arjan1995]

Helaas, .onion kan alleen via het Tor netwerk worden geresolved (dus je gewone google chrome, edge of Firefox kán het al niet vinden).
Het Tor netwerk is zo opgezet dat een heel netwerk van servers (nodes) bepaalt wat er geresolved kan worden en wat nog niet bestaat.

[mrwiggs]

Volgens mij miste je de /s van zijn reactie

[SillieWous]

Waaruit concludeer je dit? Het heeft vrij weinig zin om een domeinnaam in beslag te nemen. Je hebt zo weer een andere, en dan kiezen ze gewoon geen .com TLD, daar kun je niks tegen beginnen. Eventueel kun je een DNS blokkade o.i.d. inzetten, maar dat gaat ook niet veel helpen gok ik zo.

Je wil juist binnendringen om bewijs te verzamelen en de activiteiten daadwerkelijk te verstoren al dan niet stoppen.

[GertMenkel]

In dit specifieke geval gaat het om een .onion, daar kun je niemand op bereiken.

Overigens pakt de politie nog wel eens domeinen af van criminelen via registrars. Een signaal geven als "de politie is naar deze mensen op zoek" kan illegale handelaars die te veel gegevens hebben achterhalen toch even doen zweten.

[bvdli]

Het gaat niet om een gewone domeinnaam maar om een union address op het tor netwerk
https://www.bleepstatic.c...t_seizure_banner_site.jpg

[spaceboy]

Inderdaad, ik ook. En dat ze "met een exploit de website binnen komen". Waarom kunnen ze niet gewoon naar de domain registrar stappen en zeggen "hier is een rechterlijk bevel, dit domein is nu van ons". Hoezo exploit? En dan? Stiekem een deface plaatsen?

[SuperDre]

Maar dan heb je de server nog niet. Alleen een domeinnaam is niet genoeg.

[junyloko]

klopt

[Verwijderd]

Data verzamelen, een netwerk in kaart brengen, opsporing, bewijslast, etc.

[downtime]

Wat heb je aan het domein als de server in een land staat wat niet aan zulke verzoeken meewerkt?

Een andere domeinnaam is ook zo geregeld.

[sdziscool]

Goed, betekent dat overheden niet zomaar kunnen beslissen dat een site wel of niet goed is.

[Aldy]

Goed, betekent dat overheden niet zomaar kunnen beslissen dat een site wel of niet goed is.

Het zijn de opsporingsdiensten die bekijken of een site legaal of illegaal is. Tegen de tijd dat een overheid gaat kijken of een site goed of slecht is, dan worden er meestal rigoureuze maatregelen genomen, want dan is die overheid meestal niet echt democratisch gekozen.

[sdziscool]

3x raden wie beslist wat legaal en illegaal is...

[Aldy]

Eén keer raden is voldoende: de rechter in een rechtstaat, zoals de onze.

[RoestVrijStaal]

Ik blijf het vooral bijzonder vinden dat internationale politiediensten blijkbaar nog steeds met handen gebonden zijn als het gaat om het in beslag nemen van domeinnamen. Zelfs als deze overduidelijk worden gebruikt voor criminele activiteiten.

Valt reuze mee. Tegenwoordig weten zelfs stichtingen die doen alsof ze de internetpolitie zijn de weg naar de TLD registrar anders wel de TLD registries. En weten precies met wat voor juridische termen ze moeten schermen om hun zin te krijgen.

Daarnaast komt dat door het decentrale karakter van het internet (in zoverre het nog decentraal is) dat er niet met één niet getoetste verzoekje meteen een domeinnaam in beslag genomen is.

[Dark Angel 58]

Wat lees ik nou????

De diensten zeggen dat er binnenkort contact wordt opgenomen met klanten van Lockbit.

KLANTEN???? Geen slachtoffers?

[wildhagen]

Lockbit biedt ook "Malware as a Service (MaaS)"-diensten aan. Die worden dus afgenomen door hun klanten.

En die zullen dus ongetwijfeld in hun administratie terug te vinden zijn zodat de politie-diensten ze even gezelllig kan opzoeken.

[M3m3nt0m0r1]

RaaS -> Ransomware as a Service.

[wildhagen]

Lockbit deed ook aan DDoS attacks, dus Malware as a service is wat meer van toepassing. Ransomware was maar één van de diensten die ze aanboden. Weliswaar met afstand hun bekendste, maar niet hun enige dus.

Zie bijvoorbeeld https://www.fortinet.com/...most-prevalent-ransomware

LockBit is also believed to threaten Distributed Denial of Service (DDoS) attacks against victims if the demanded ransom is not paid.

[Reactie gewijzigd door wildhagen op 22 juli 2024 14:54]

[Bor]

LockBit is also believed to threaten Distributed Denial of Service (DDoS) attacks against victims if the demanded ransom is not paid.

Zijn er cases bekend waar dit ook daadwerkelijk is uitgevoerd?

[wildhagen]

[...]


Zijn er cases bekend waar dit ook daadwerkelijk is uitgevoerd?

Lijkt het wel op:

In some cases, LockBit 2.0 operators have performed DDoS attacks on the victims' infrastructure as well as using a leak site. This practice is known as triple extortion, a tactic observed in groups like BlackCat, Avaddon and SunCrypt in the past.

Zie https://unit42.paloaltonetworks.com/lockbit-2-ransomware/

Lockbit heeft dit in het verleden ook aangekondigd te gaan doen:

LockBitSupp said that the ransomware operator is now looking to add DDoS as an extortion tactic on top of encrypting data and leaking it.

“I am looking for dudosers [DDoSers] in the team, most likely now we will attack targets and provide triple extortion, encryption + date leak + dudos, because I have felt the power of dudos and how it invigorates and makes life more interesting,” LockBitSupp wrote in a post on a hacker forum.

Zie https://www.bleepingcompu...-triple-extortion-tactic/

[mphilipp]

Zij verkopen toch malware? Dus klanten.
De slachtoffers zijn de 'klanten' van hun klanten

[Aldy]

En die klanten hebben het de komende dagen niet naar hun zin, lijkt mij. En de klanten van die klanten hadden het al eerder niet naar hun zin, dus nu is het de beurt aan criminelen.

[Melantrix]

Dat klopt. Lockbit faciliteert in ransomware software, derden kunnen bij hen de software afnemen in ruil voor een deel van hun 'winst' als ze iemand ransomwaren. De politie heeft dus nu gegevens van degene die de software afneemt (en dus zelf ook mensen ransomwared) en die gaan ze dus nu 'contacten' (lees, opsporen en ik mag hopen oppakken ).

Het is een heel ecosysteem, en het zal je verbazen hoe professioneel het is opgezet.

[ari2asem]

.....en het zal je verbazen hoe professioneel het is opgezet.

blijkbaar niet zo professioneel als jouw website via php overgenomen wordt. en verder ook andere gegevens vanwege "gebrekkige infrastructuur"

[GertMenkel]

Het zal je verbazen hoeveel gigantische bedrijven WordPress gebruiken. Ik gok dat er een aardige kans in zit dat hier een leuke 0day of iets dergelijks is gebruikt voordat lockbit hun servers patchte.

Net als bij de ziekenhuizen die ze offline haalden is het maar de vraag of de core infrastructuur en de website wel binnen hetzelfde systeem vielen. Als de backupservers (en daarmee potentieel de servers die klanten gebruiken als C2 servers) nog gewoon functioneel zijn, gok ik dat dat hier ook niet het geval is.

[MaDMaRTiGaN648]

Ja, volgens mij bedoeld als dreigement voor diegenen die de diensten van Lockbit inzetten om slachtoffers te maken...

[Wouterie]

Nope, de slachtoffers nemen zelf wel contact op, de klanten daarentegen zijn zelf ook boefjes.

[biglia]

"Contact opnemen" is wel braaf voorgesteld. Bij Blackshades werden er invallen gedaan bij alle klanten. Nu die klanten op voorhand verwittigd worden, gaan ze niet veel extra bewijslast meer vinden.

[Wouterie]

Waarom is het eigenlijk zo lastig om een website in beslag te nemen? Het is niet dat het nou allemaal zo goed verstopt is. Als je eenmaal weet waar de boel gehost is dan kun je daar toch gewoon aanbellen en de site overnemen? Het verbaast me altijd als ik dan lees over een Nederlands bedrijf wat dan tal van foute sites host. Lijkt me toch allemaal niet zo ingewikkeld.

[M3m3nt0m0r1]

Omdat het om een .onion gaat. Niet om een normale website. .onion sites werken heel anders.

[kodak]

Je kan van mening zijn dat dit soort sites zich niet goed zouden verstoppen, maar waar blijkt dat volgens jou dan uit?

Er valt namelijk niet zomaar te concluderen dat als er in Nederland bedrijven zijn die foute sites hosten ze daar dus hun hosting doen. Daarbij heeft ieder bedrijf wat aan hosting doet wel behoorlijke als criminele klanten, dus die criminelen hoeven niet speciaal bij wat opvallende Nederlandse bedrijven klant te zijn. Ze kunnen over de hele wereld zitten.

[Wouterie]

CyberBunker is zo'n partij. Er was in 2014 een prachtig rapport over Bad Hosting waar een aantal Nederlandse bedrijven vrij hoog op de lijst stond. Het staat trouwens in de SIDN-voorwaarden tot in welke mate de hoster hier verantwoordelijk voor is. Nou, best een flinke maat is dat.

[kodak]

De politie is er niet om de voorwaarden van de SIDN te handhaven. Dus daarop kun je geen beroep doen alsof het niet ingewikkeld is. Daarbij toont dat niet aan dat specifieke criminelen dus maar bij bepaalde hosters in Nederland klant zijn, terwijl de opsporing gaat om waar ze wel klant zijn.

[Wouterie]

Punt is dat een hoster volgens de regels moeten acteren tegen criminele activiteiten. Net als dat je als verhuurder van je pand moet acteren als daar een wietplantage zou zijn. De huurder is fout, maar dat ontslaat de verhuurder niet van enige aansprakelijkheid en verantwoordelijkheid.
De hosters die, wat mij betreft, hun geld verdienen aan illegale klanten, doen niet meer dan het strikt noodzakelijke. Ik zou me kapot schamen als ik in zo'n rapport werd genoemd in de top-10, maar zij zijn er trots op.

[kodak]

Maar dat is niet waar deze opspringen, of je stelling over niet ingewikkeld zijn, om gaat. In principe hoort iedereen zich aan de wet te houden, maar dat kan je niet zomaar even omdraaien alsof waar men zich eerder niet aan de wet zou houden dus maar de opsporing van deze criminelen makkelijker maakt.

[Wouterie]

Dat is zeker waar. Men kan het leven beteren en het minder gemakkelijk maken. Het zou ook een beetje dom zijn om te gaan zitten bij een partij met een dubieuze reputatie. Toch blijf ik dezelfde partijen geregeld terugzien in de rapporten. Dat helpt in elk geval om de scope te vernauwen.

[Aldy]

Een heel vreemde vraag en misschien offtopic, maar elke site bestaat uit één of meer pagina's en elke pagina heeft een link. Kun je bijvoorbeeld elke pagina daardoor kunnen onderbrengen bij steeds een ander hoster?

[OruBLMsFrl]

Dat kan prima, typische opties:
- door alles aan de voorkant door een load balancer te halen en vervolgens over verschillende hosters te verdelen aan de achterkant. Voor de bezoeker ziet het eruit als één geheel.
- door de pagina's daadwerkelijk op verschillende hostnames, subdomeinen, zelfs geheel andere domeinen allemaal aan elkaar door te linken. Wat omslachtig, maar zo kun je je site ook prima gelijktijdig op meerdere domeinnamen tegelijk actief hebben. Of je dan steeds naar elkaar moet doorverwijzen is een ander verhaal, vaak werken aparte kopietjes van de websites prima genoeg, maar het kan zeker.

Uitdaging bij item 2 zijn vaak de updates vanuit een centrale database. Niet zo een probleem als je elke dag maar een keertje je website aanpast, maar wel als je continu nieuwe updates moet laten zien en synchroniseren. Is allemaal tooling voor, maar toch altijd wat extra werk om echt goed en snel te krijgen. Vermoedelijk had Lockbit voor hun .onion domein daar ook wel iets van in de lucht, maar met hacken kom je uiteindelijk altijd ergens op een server terecht toch, en dan kun je een paar keer dezelfde hack herhalen vanaf verschillende soorten locaties en clients, om te zien of je steeds op dezelfde server komt, of dat er verschillende servers achter blijken te zitten. In die zin, doet het niet heel veel voor je security of zo, puur wat beschikbaarheid.
Belangrijkste blijft: keep it simple, je moet het vooral zelf blijven snappen, voor als er een storing is, onderhoud nodig is.

[Reactie gewijzigd door OruBLMsFrl op 22 juli 2024 14:54]

[Aldy]

Bedankt voor de info. Maar het maakt het voor opsporingsinstanties toch extra moeilijk om zo'n complete site neer te halen? Alhoewel, de mainpage weg, alles weg.

[OruBLMsFrl]

Technisch zoveel mogelijk gescheiden mirrors op verschillende domeinnamen wel ja, tegelijk is het ook veel extra werk om die allemaal goed werkend te houden jarenlang. Als je één domeinnaam en één front page als primair uithangsbord hebt, dan doet het verder verspreiden niet zo veel inderdaad. .onion als onderdeel van het TOR netwerk doet toch al veel van die obfuscation voor je, dus kom je vooral toch weer uit op welke beschikbaarheid je wenst. Tegelijk verwacht je niet dat Lockbit super hoge eisen stelt aan beschikbaarheid van hun eigen publieke naming en shaming site. Als die even een paar uurtjes uit is, doet dat weinig af aan hun criminele verdienmodel. Zulke hacks hoor je toch vaak over 1-2 weken waarbinnen je moet betalen, dan maken een paar uur ze vermoedelijk weinig uit.
Veel waardevoller dat ze nu die klanten van Lockbit op het spoor zijn door die site te hacken, daar zitten best wat criminelen tussen ga je vermoeden, die ze nu kunnen opsporen en aanpakken vanuit justitie.

[Aldy]

Veel waardevoller dat ze nu die klanten van Lockbit op het spoor zijn door die site te hacken, daar zitten best wat criminelen tussen ga je vermoeden, die ze nu kunnen opsporen en aanpakken vanuit justitie.

Ik denk dat er nu veel mensen aan het billenknijpen zijn. De komende weken zullen we het weten. En maar hopen dat er niet te veel achter het voormalige IJzeren Gordijn zitten.

[SynthCat]

Dit soort mensen verdienen het eigenlijk niet meer om te ademen maar goed ik ben ook geen voorstander van de doodstraf. Ik hoop dat ze er uiteindelijk een flink aantal levenslang kunnen opsluiten. Lockbit members zijn terroristen en dienen zo gestraft te worden.

[RoestVrijStaal]

Lockbit members zijn terroristen en dienen zo gestraft te worden.

Nee, dat zijn ze niet. Het zijn gangsters. Maffia.

Een hypothetisch analoog voorbeeld: Het zijn een groep gewapende mannen die even een bedrijf/ziekenhuis/whatever binnenstormen, de boel platleggen en pas weg gaan (en zaken wat voor hun van waarde is meepikken) als er betaald is.

[Reactie gewijzigd door RoestVrijStaal op 22 juli 2024 14:54]

[OLED]

Klopt, met als verschil dat ze geen bivakmuts dragen of wapens bij zich hebben op lokatie, maar in hun onderbroek en badjas lui achteruit hangen terwijl ze op hun andere schermen Netflix met een gestolen credit card draaien terwijl ze Call of Duty spelen of zelfs met hun laptop op het toilet zitten…

Dus in plaats van Heat (1995) is het meer die Southpark aflevering over World of Warcraft

Neemt niet weg dat het criminelen zijn die in de gevangenis horen zeker als ze kritieke systemen zoals ziekenhuizen aanvallen

[Aldy]

Maar wat @RoestVrijStaal wil zeggen is dat het in ieder geval geen terroristen zijn.

[The Zep Man]

Lockbit members zijn terroristen en dienen zo gestraft te worden.

Het doel van Lockbit lijkt financieel. Daarmee betreft het geen terrorisme.

Verder heb je niets aan de impact van een risico zwaarder maken ("zwaarder straffen") als de kans effectief nul is.

[Wouterie]

Nou, het zijn voornamelijk rotjochies. Als Boeing zo dom is om de achterdeur open te laten en een stelletje boefjes komt binnen en steekt de boel in de fik, ja, dan ligt de boel ook op z'n gat. Het zijn geen terroristen, het zijn voornamelijk rotjochies die niets beters te doen hebben.

[Bor]

Lockbit is een ransomware groepering met een pure financiële doelstelling gebaseerd op afpersing. De "rotjochies" vergelijking gaat daarom niet op. Of een bedrijf als Boeing daadwerkelijk een achterdeur open heeft gelaten is ook maar de vraag. Er kan bijvoorbeeld van 0 days gebruik zijn gemaakt waardoor die vergelijking in mijn ogen niet helemaal opgaat.

[Reactie gewijzigd door Bor op 22 juli 2024 14:54]

[SuperDre]

Off topic: Let wel, wat een terrorist is voor de ene is een soldaat/vrijheidsstrijder voor de ander. Het is dus niet allemaal zo zwart wit. Bv als jouw land wordt ingenomen door de regering, en jij vecht met de enige middelen om dat te verdedigen, dan ben je in de ogen van die regering een terrorist, maar het enige wat je doet is het onrecht dat jou is aangedaan proberen tegen te gaan.

[Verwijderd]

Dude, wat heeft mensen over de hele wereld afpersen met vrijheidstrijd te maken?
Dat SynthCat ze "terroristen" noemt klopt overigens niet. Het is gewoon russische maffia.

[Wouterie]

Hmm... ja en nee. Willem van Oranje was voor ons een vrijheidsstrijder en voor de Spanjaarden een terrorist. Zo bekeken gaat die vlieger op. Veel verzetsstrijders in WO2 waren ook terroristen. De definitie van terrorisme, en wat iemand dus een terrorist maakt, staat niet vast. Wat we in elk geval over het algemeen vinden is dat een terrorist opereert zonder wettige grond, gericht is op menselijke slachtoffers en een maatschappelijke verandering teweeg wil brengen door de bevolking of een deel van de bevolking angst aan te jagen.
Als het gaat over recht en onrecht, dan is er sprake van een wettige grond. Dan hebben we het eerder over rebellen en niet over terroristen. Als het gaat over soldaten (dus aangestuurd vanuit een overheid) of vrijheidsstrijders, dan is er sprake van wettige grond. Is Hamas (bijvoorbeeld) dus een terroristische organisatie of een clubje vrijheidsstrijders? Dat is een lastige discussie, maar gezien het ontbreken van de wettige grond en het doel om zo veel mogelijk burgerslachtoffers te maken, kunnen we de optie vrijheidsstrijders wegstrepen.

[GeenBergTeHoog]

"Onder meer slachtoffers, buitgemaakt geld, persoonsgegevens en chats zijn in beslag genomen"

Arme mensen, waren ze al slachtoffer, zijn ze ook nog in beslag genomen...

[Emunator]

Schijnt dat er veel meer is gebeurd dan alleen de website overnemen: https://nos.nl/artikel/25...mputergijzelbende-lockbit

[kimborntobewild]

De diensten zeggen dat er binnenkort contact wordt opgenomen met klanten van Lockbit.

Contact opnemen?? OPPAKKEN, die zware criminelen!!

[kimborntobewild]

Net als bij de ziekenhuizen die ze offline haalden

Je moet ziekenhuis netwerken ook niet aan internet koppelen. Net zoals waterbedrijven en energiecentrales.

[kuurtjes]

De politiediensten drongen de website binnen door middel van een PHP-exploit

Dit klopt niet. Er is totaal geen exploit in PHP misbruikt. Mocht daar een exploit in zitten zou heel het internet op z'n kop staan.

Hier is gewoon een lek gevonden in een zelfgebouwde webapplicatie. Als deze website in een andere programmeertaal was geschreven zou de kans groot zijn geweest dat deze exploit er ook gewoon in zat.