LockBitは、2019年9月に最初に登場したアクティブなランサムウェア・アズ・ア・サービス(RaaS、Ransomware-as-a-Service)グループであり、ファイルを暗号化するときに「.abcd」サフィックスを追加する初期バージョンで、かつては「ABCDランサムウェア」として知られていました。 その技術的成熟度、高度な自動化、高い恐喝効率で知られるこのグループは、世界中の企業、政府、教育、医療機関に対して多数の攻撃を開始し、いくつかの国家安全保障機関(APT)組織によって高度で持続的な脅威として分類されています。 この組織については、昨年開示しました。
LockBitの技術は継続的に進化し、複数のバージョンが開発されています：
RaaSモデルの典型的な代表として、LockBitはコア開発者が提供するランサムウェアツールキットを通じて、「加盟者(Affiliates)」を引き付け、具体的な攻撃、浸透、展開を担当させ、身代金の分配によって協力を促進します。一般的な攻撃者は70%の分配を得ることができます。また、その「二重脅迫」戦略も非常に圧力をかけるものです。つまり、一方ではファイルを暗号化し、もう一方ではデータを盗み取り、公開すると脅迫します。被害者が身代金の支払いを拒否した場合、データは専用の漏洩サイトに掲載されます。
技術的な観点から、LockBitはWindowsおよびLinuxシステムをサポートしており、マルチスレッド暗号化技術とAES-NI命令セットを使用して高性能な暗号化を実現しています。また、内部ネットワークでの横移動能力（PSExecやRDPのブルートフォース攻撃など）を備えており、暗号化の前にデータベースを自動的に停止し、バックアップなどの重要なサービスを削除します。
LockBitの攻撃は通常高度に体系化され、典型的なAPTの特徴を持っています。攻撃チェーンは大まかに次のようになります：
LockBitが活動していた期間中に多くのセンセーショナルな事件を引き起こしました：
しかし、LockBitのように強力であっても、完璧ではありません。2024年2月19日、LockBitのウェブサイトはイギリス国家犯罪局、アメリカ連邦捜査局、欧州刑事警察機構、国際警察機関の合同捜査によって押収され、多くのLockBitメンバーが逮捕または指名手配されましたが、コア開発チームは完全には壊滅しておらず、一部のサンプルは依然としてダークウェブで流通しており、分派団体によって引き続き使用されています。
今日、SlowMist(は情報を受け取りました：LockBitのonionサイトがハッキングされ、攻撃者はそのコントロールパネルを乗っ取っただけでなく、データベースを含むパッケージファイルを公開しました。この行為により、LockBitのデータベースが漏洩し、ビットコインアドレス、秘密鍵、チャット履歴、および関連会社などの機密情報が含まれています。
! [])https://img.gateio.im/social/moments-ec107b6678a78200582bd65b422ac683(
よりドラマチックなのは、ハッカーが改ざんされたサイトに意味深い一言を残したことです。「犯罪を犯さないでください、犯罪は良くありません、プラハからのメッセージです。」
不久後、関連データがGitHubなどのプラットフォームにアップロードされ、迅速に拡散した。
! [])https://img.gateio.im/social/moments-b85028cd868818a42b45c68e4e83a88d(
LockBitの公式は、そのチャンネルでロシア語で応答し、概ね以下のような意味です：
! [])https://img.gateio.im/social/moments-0e1dd21116426070d0b50e217c2c51c(
Rey：LockBitがハッキングされたの？進展はあるの？
LockBitSupp：許可コードを持つ軽量コントロールパネルだけが攻撃されました。復号器は盗まれず、会社のデータも損なわれていません。
Rey：はい、しかしこれはビットコインアドレス、会話の内容、鍵などが漏洩したことを意味します…これも評判に影響しますよね？
Rey：ロッカービルダー（ランサムウェアビルダー）またはソースコードは盗まれましたか？
レイ：あなたたちは再び作業を再開しますか？もしそうなら、どのくらいの時間がかかりますか？
LockBitSupp：ビットコインアドレスと会話内容のみが盗まれ、復号器は盗まれていません。はい、これは確かに評判に影響を与えますが、修復後の再上場も評判に影響を与えます。ソースコードは盗まれていません。私たちはすでに復旧作業に取り組んでいます。
レイ：はい、皆さんに幸運を祈ります。回答ありがとうございます。
)リーク分析
スローミスト###SlowMist(は、関連する漏洩ファイルを第一時間でダウンロードしました（内部研究用途のみで、バックアップは迅速に削除されました）。私たちは、ディレクトリ構造、コードファイル、およびデータベース内容の初期分析を行い、LockBitの内部運用プラットフォームのアーキテクチャおよび機能コンポーネントを復元しようとしています。
! [])https://img.gateio.im/social/moments-5d58a1b8f0663f172a3b53e867afca4c(
ディレクトリ構造から見ると、これは軽量なPHPフレームワークで書かれたLockBitの被害者管理プラットフォームのようです。
ディレクトリ構造分析：
したがって、私たちは「プラハ」出身のハッカーが PHP 0 day または 1 day を使用してウェブサイトとコンソールを制御する可能性があると推測しています。
管理コントロールパネルは以下の通りです:
! [])https://img.gateio.im/social/moments-638ae43ae7dd23b3f4a46d1b65aa047e(
一部のチャット通信情報：
! [])https://img.gateio.im/social/moments-05a790a5f442363d6dd8d4f540a6a08e(
赤い枠で囲まれた情報を見てみましょう：被害者のCEOはco … coinbase？身代金を支払ったのですか？
同時に、漏洩したデータベースには約60,000のBTCアドレスが含まれています：
! [])https://img.gateio.im/social/moments-98af86d17156f34bffaf3572b6d1064b(
漏洩したデータベースには75人のユーザーのアカウントとパスワードがあります：
! [])https://img.gateio.im/social/moments-9ad7b2a165b0b44b488a8ce629c92ee5(
! [])https://img.gateio.im/social/moments-b165ac3ae81709c364c99de146b8822c(
面白い値段交渉のチャット：
! [])https://img.gateio.im/social/moments-9bb7fc74fe43af66816b212207e3ecd8(
支払い成功の注文をランダムに探す：
! [])https://img.gateio.im/social/moments-f87e3bee4e601a8f6719260e46efb302(
注文アドレス：
! [])https://img.gateio.im/social/moments-8d95205587817fc4e9a8f778a3e8e223(
MistTrackを使用してビットコインの受取アドレスを追跡する：
! [])https://img.gateio.im/social/moments-82ba79a37998661c4fc78828b70571f8(
マネーロンダリングの資金の流れは比較的明確で、最終的には取引プラットフォームに流入します。スペースの制約上、今後MistTrackは暗号通貨アドレスに関してさらに分析を行いますので、興味のある方はX：@MistTrack_ioをフォローしてください。
現在、LockBit の公式はこの事件について最新の声明を発表しました。大まかな翻訳は以下の通りです：
! [])https://img.gateio.im/social/moments-ee3f47701516799a0cfc67864a3f23e6(
“2025年5月7日に、当社の自動登録機能を持つ軽量コントロールパネルが侵害され、誰でも認可をバイパスして直接そのパネルにアクセスできるようになりました。データベースが盗まれましたが、解読器や被害会社の機密データには関与していません。現在、具体的な侵入方法を調査中で、再構築プロセスを開始しています。メインコントロールパネルとブログは正常に稼働しています。”
「今回の攻撃者は‘xoxo’という名前の人で、プラハ出身だと言われています。彼の身元に関する正確な情報を提供していただければ——情報が信頼できる限り、私はお金を出して購入するつもりです。」
LockBitのこの反応は皮肉な意味合いを持っています。それ以前に、アメリカ合衆国国務省は、LockBitグループの核心メンバーまたは重要な協力者の身元と位置情報を取得するために、最高で1,000万ドルの報酬を提供するという告知を出しました。また、その加盟者)の攻撃行為を暴露することを奨励するために、さらに最高500万ドルの報酬が提供されています。
現在、LockBitがハッキングされ、逆にチャンネル内で攻撃者の手がかりを探すために値を付けている——まるで「バountyハンター機構」が自分自身に逆作用しているかのようで、笑いと悲しみが入り混じる状況であり、さらに内部のセキュリティシステムの脆弱性と混乱を暴露している。
(概要
LockBitは2019年から活動しており、世界で最も危険なランサムウェアギャングの1つであり、身代金の累積推定額(非公開データを含む)は少なくとも1億5,000万ドルに上ります。 そのRaaS(Ransom-as-a-Service)モデルは、多数のフランチャイジーを引き付けて攻撃に参加させます。 このギャングは2024年初頭に「オペレーション・クロノス」の施行に見舞われたが、現在も活動している。 この事件は、LockBitの内部システムのセキュリティに対する大きな課題であり、その信頼性、アフィリエイトの信頼、および運用の安定性に影響を与える可能性があります。 同時に、サイバー空間におけるサイバー犯罪組織に対する「逆攻撃」の傾向も示しています。
マヌのセキュリティチームは各方面に提案します：
今回の事件は、技術力の高いハッカー集団でさえ、ネットワーク攻撃から完全には免れないことを再確認させてくれます。これもまた、安全専門家が戦い続ける理由の一つです。
