Крупнейшая кибергруппировка LockBit сама оказалась взломана

Логотип компании
09.05.2025
Крупнейшая кибергруппировка LockBit сама оказалась взломана
Фото: AntonKhrupinArt / Shutterstock
В даркнете — сенсация: крупнейшая вымогательская группировка LockBit подверглась хакерской атаке. Утекли переписки с жертвами, адреса биткоин-кошельков, внутренние пароли и даже индивидуальные версии программ-вымогателей. Теперь следователи всего мира внимательно изучают то, что раньше было недосягаемо. IT-World собрал информацию как устроен вымогательский «бизнес» изнутри, кто мог взломать LockBit — и что это означает для рынка киберпреступности?

7 мая сайты LockBit в даркнете неожиданно сменили оформление. Вместо анонсов новых «сливов» — издевательское сообщение: «Don’t do crime. CRIME IS BAD. xoxo from Prague». Подпись, будто из любовной открытки, сопровождалась ссылкой на архив с внутренними данными. Так началась одна из самых громких утечек в истории киберпреступности.

Файл paneldb_dump.zip весом 7,5 мегабайт оказался настоящим сокровищем для экспертов по информационной безопасности.

Внутри — более 60 000 адресов биткоин-кошельков, 4 442 переговорных чата между LockBit и жертвами, таблица с 75 учётными записями аффилиатов, включая пароли в открытом виде, а также кастомные сборки шифровальщиков, применявшиеся для атак. Период охвата — с декабря 2024 года по конец апреля 2025-го.

Исследователи подтвердили подлинность материалов. В Hudson Rock данные считают полностью достоверными: часть кошельков активны, на некоторых уже найдено более $100 000 в биткоине. Это открывает прямой путь к отслеживанию выплат и потенциальному выявлению фигурантов схем.

Крупнейшая кибергруппировка LockBit сама оказалась взломана. Рис. 1

Особый интерес вызвали сливы переговоров. В них видно, как операторы LockBit выбивают деньги — суммы разнятся от нескольких тысяч до $100 000, давление — системное, с угрозами и ультиматумами. Причём среди атакованных — не только крупные корпорации, но и малые бизнесы, у которых и шантажировать особенно нечем.

Группировка поспешила заявить, что утечка якобы затронула только «лёгкую панель с авто-регистрацией», и что ни один decryptor или украденные клиентские данные не пострадали. Администратор под ником LockBitSupp (официально идентифицированный США как Дмитрий Юрьевич Хорошев) даже пообещал вознаграждение за информацию о личности атакующего. Хотя сама группировка обычно не признаёт ошибок, здесь пришлось как минимум объясняться.

Подпись «xoxo from Prague» уже знакома специалистам: ровно такую же оставили на сайте другой хакерской группировки — Everest — в апреле. Совпадение? Вряд ли. Вероятно, речь идёт о серии целенаправленных атак, возможно — со стороны конкурентов или хактивистов. По версии SlowMist, для взлома использовалась уязвимость в PHP — предположительно CVE-2024-4577, позволяющая удалённо получить доступ к веб-интерфейсу админ-панели.

Ирония ситуации в том, что LockBit — не просто кибергруппировка, а флагман всего рынка ransomware. IT-World уже писал как работают криптовалютные вымогатели и вирусы-шифровальщики, какой наносят ущерб и как от них защититься.

По данным Coveware, ещё в начале 2023 года на LockBit приходилось до 44% всех атак с вымогателями по миру.

Однако в 2024 году позицию расшатала международная операция Cronos, в которой участвовали ФБР, британская NCA и другие ведомства. Тогда было конфисковано 34 сервера, более 1000 дешифраторов и ключевая часть инфраструктуры.

Иван Вахмянин: ИИ-помощник Visiology готов конкурировать с любыми решениями в мире
Как ИИ откроет новую эру электронной торговли
Как осуществлять международные денежные переводы в 2025 году?

LockBit пережила и это. Восстановилась, аффилиаты вернулись, сайт снова заработал. Но теперь — совсем другая история. Утечка задевает сразу несколько уязвимых точек: доверие партнёров, защиту «панелей» и главное — имидж неприкосновенности. Ведь если кто-то смог не просто проникнуть, но и опубликовать внутренние данные, возникает вопрос: что ещё там лежит — и кто следующий?

Кибератаки 2024–2025. Как хакеры атакуют бизнес и что с этим делать

К слову, опубликованные данные позволяют реконструировать организационную структуру LockBit: более 35 активных аффилиатов, ещё столько же временно «на паузе», идентификаторы в системе Tox, пользовательские билды — всё это сейчас в руках исследователей. CTO Hudson Rock даже запустил инструмент LockbitGPT — помощника на базе ИИ для анализа содержимого базы.

Финансовая составляющая тоже вызывает интерес: теперь можно напрямую отслеживать маршруты выплат, связывать адреса с конкретными атаками и аффилиатами. Для правоохранителей это — редкая возможность получить доказательную базу, а для жертв — шанс выяснить, были ли они в числе атакованных.

LockBit пытается сохранить лицо, но аналитики отмечают: группировка теряет вес. Многие «новые жертвы», появлявшиеся на их сайте в последние месяцы, оказались либо старыми, либо не связанными с LockBit напрямую. Прежняя мощь — во многом иллюзия. Рынок вымогателей становится всё более разрозненным, а игроки — всё менее защищёнными.

КиберугрозыВзлом
Похожие статьи
Как машинное обучение меняет ландшафт борьбы с мошенничеством в рекламной сфере
Как машинное обучение меняет ландшафт борьбы с мошенничеством в рекламной сфере
Почти половина интернет-трафика — не от людей. Разбираем, как машинное обучение ловит фродеров, пока они не сожгли весь рекламный бюджет.
Дмитрий Емельянов06.05.25
Самозащита, самозапрет, саморегуляция. Новая этика цифровой безопасности
Самозащита, самозапрет, саморегуляция. Новая этика цифровой безопасности
Если последние три года российской кибербезопасности были чем-то похожи на бесконечный пентест, то в 2025-м, кажется, все начинают спрашивать: что дальше? Пора ли выдохнуть или это только первая волна?
Ольга Попова28.04.25
NGFW: останется только один
NGFW: останется только один
Российский рынок межсетевых экранов нового поколения (NGFW) переживает бурный рост на фоне ухода зарубежных вендоров и ужесточения регуляторных требований. Отечественные разработчики активно дорабатывают решения, но смогут ли они полностью заместить иностранные продукты и удовлетворить запросы клиентов? Читайте в материале IT-World мнения ключевых игроков рынка и анализ текущих тенденций.
Евгений Курышев23.04.25
DDoS-атаки бьют рекорды – бизнес продолжает рисковать
DDoS-атаки бьют рекорды – бизнес продолжает рисковать
Почти половина российских компаний игнорируют базовые меры кибербезопасности, а количество DDoS-атак за год выросло на 53%. Эксперты предупреждают: бизнесу срочно нужны многоуровневые системы защиты, чтобы избежать миллионных убытков.
07.04.25
Загрузить ещё1 2 3 4 5 »» Следующая →