La National Crime Agency (NCA) del Reino Unido ha desenmascarado al administrador y desarrollador del ransomware LockBit, revelando que se trata de un ciudadano ruso de 31 años llamado Dmitry Yuryevich Khoroshev.
Además, Khoroshev ha sido sancionado por la Oficina de Asuntos Exteriores, de la Commonwealth y de Desarrollo (FCD) del Reino Unido, la Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de Estados Unidos y el Departamento de Asuntos Exteriores de Australia.
Europol, en un comunicado de prensa, dijo que las autoridades están en posesión de más de 2.500 claves de descifrado y siguen poniéndose en contacto con las víctimas de LockBit para ofrecerles apoyo.
Khoroshev, que se hacía llamar LockBitSupp y putinkrab, también ha sido objeto de congelación de activos y prohibición de viajar, y el Departamento de Estado de EE.UU. ofrece una recompensa de hasta 10 millones de dólares por información que conduzca a su detención y/o condena.
Anteriormente, la agencia había anunciado ofertas de recompensa de hasta 15 millones de dólares buscando información que condujera a la identidad y localización de los principales líderes del grupo variante del ransomware LockBit, así como información que condujera a la detención y/o condena de los miembros del grupo.
Al mismo tiempo, el Departamento de Justicia ha hecho pública una acusación contra Khoroshev por 26 cargos, entre ellos un cargo de conspiración para cometer fraude, extorsión y actividades relacionadas con ordenadores; un cargo de conspiración para cometer fraude electrónico; ocho cargos de daños intencionados a un ordenador protegido; ocho cargos de extorsión en relación con información confidencial de un ordenador protegido; y ocho cargos de extorsión en relación con daños a un ordenador protegido.
En total, los cargos conllevan una pena máxima de 185 años de prisión. Cada uno de los cargos conlleva además una pena pecuniaria que es la mayor de 250.000 dólares, ganancia pecuniaria para el delincuente o perjuicio pecuniario para la víctima.
Con la última acusación, se ha imputado a un total de seis miembros afiliados a la conspiración LockBit, entre ellos Mikhail Vasiliev, Mikhail Matveev, Ruslan Magomedovich Astamirov, Artur Sungatov e Ivan Gennadievich Kondratiev.
"El anuncio de hoy pone otro enorme clavo en el ataúd de LockBit y nuestra investigación sobre ellos continúa", dijo el Director General de la NCA, Graeme Biggar. "Ahora también tenemos en el punto de mira a los afiliados que han utilizado los servicios de LockBit para infligir devastadores ataques de ransomware a escuelas, hospitales y grandes empresas de todo el mundo".
LockBit, que era uno de los grupos de ransomware como servicio (RaaS) más prolíficos, fue desmantelado en el marco de una operación coordinada denominada Cronos a principios de febrero. Se calcula que ha atacado a más de 2.500 víctimas en todo el mundo y ha recibido más de 500 millones de dólares en rescates.
"El ransomware LockBit se ha utilizado contra empresas australianas, del Reino Unido y de los Estados Unidos, comprendiendo el 18% del total de incidentes de ransomware australianos reportados en 2022-23 y 119 víctimas reportadas en Australia", dijo Penny Wong, Ministra de Asuntos Exteriores de Australia.
Bajo el modelo de negocio RaaS, LockBit licencia su software de ransomware a afiliados a cambio de un recorte del 80% de los rescates pagados. El grupo de delincuencia electrónica también es conocido por su doble táctica de extorsión, que consiste en extraer datos confidenciales de las redes de las víctimas antes de cifrar los sistemas informáticos y exigir el pago de rescates.
Se cree que Khoroshev, que inició LockBit alrededor de septiembre de 2019, ha obtenido al menos 100 millones de dólares en desembolsos como parte del esquema en los últimos cuatro años.
En un giro interesante, la acusación también ha acusado a Khoroshev y sus co-conspiradores de desplegar LockBit contra múltiples víctimas rusas, afirmando que el acusado exigió documentos de identificación a los afiliados reclutados, e incluso se puso en contacto con las fuerzas del orden después del desmantelamiento para ofrecer información sobre la identidad de sus competidores RaaS.
"El verdadero impacto de la criminalidad de LockBit era desconocido hasta ahora, pero los datos obtenidos de sus sistemas mostraron que entre junio de 2022 y febrero de 2024, se construyeron más de 7,000 ataques utilizando sus servicios", dijo la NCA. "Los cinco países más afectados fueron Estados Unidos, Reino Unido, Francia, Alemania y China".
Los intentos de LockBit por resurgir tras la acción de las fuerzas de seguridad han sido, en el mejor de los casos, infructuosos, lo que le ha llevado a publicar víctimas antiguas y falsas en su nuevo sitio de filtración de datos.
"LockBit ha creado un nuevo sitio de filtraciones en el que ha inflado la aparente actividad publicando víctimas atacadas antes de que la NCA tomara el control de sus servicios en febrero, así como atribuyéndose el mérito de ataques perpetrados utilizando otras cepas de ransomware", señaló la agencia. "El grupo ha intentado reconstruirse en los últimos dos meses, sin embargo [...] actualmente están funcionando a una capacidad limitada y la amenaza global de LockBit se ha reducido significativamente".
Se estima que el esquema RaaS abarcaba 194 afiliados hasta el 24 de febrero, de los cuales 148 construyeron ataques y 119 entablaron negociaciones de rescate con las víctimas.
"De los 119 que iniciaron negociaciones, hay 39 que parece que nunca recibieron el pago de un rescate", señaló la NCA. "Setenta y cinco no entablaron ninguna negociación, por lo que tampoco parecen haber recibido ningún pago de rescate".
El número de afiliados activos de LockBit ha descendido desde entonces a 69, según la NCA, que añadió que LockBit no borraba sistemáticamente los datos robados una vez pagado el rescate y que descubrió numerosos casos en los que el descifrador proporcionado a las víctimas no funcionaba como se esperaba.
"Como líder central del grupo LockBit y desarrollador del ransomware LockBit, Khoroshev ha desempeñado una variedad de funciones operativas y administrativas para el grupo de ciberdelincuentes, y se ha beneficiado financieramente de los ataques de ransomware LockBit", dijo el Departamento del Tesoro de Estados Unidos.
"Khoroshev ha facilitado la actualización de la infraestructura de LockBit, ha reclutado nuevos desarrolladores para el ransomware y ha gestionado a los afiliados de LockBit. También es responsable de los esfuerzos de LockBit para continuar las operaciones después de su interrupción por los EE.UU. y sus aliados a principios de este año."
Fuente: thehackernews