Se filtró información que puede ser muy valiosa para las fuerzas del orden y la comunidad de ciberseguridad después de que alguien pirateara un panel de administración utilizado por la operación de ransomware LockBit.
El ataque informático se reveló el 7 de mayo, cuando un dominio asociado a un panel de administración de LockBit fue alterado para mostrar un mensaje que decía "No delinquir, el crimen es malo, besos y abrazos desde Praga". La página alterada también incluía un enlace a un archivo con información extraída del servidor comprometido.
Los datos filtrados incluyen mensajes privados entre afiliados de LockBit y víctimas, direcciones de billeteras Bitcoin, cuentas de afiliados, detalles sobre ataques e información sobre malware e infraestructura.
Varios expertos en ciberseguridad han analizado los datos filtrados. Christiaan Beek, director sénior de análisis de amenazas de Rapid7, señaló que las direcciones de Bitcoin podrían ser útiles para las fuerzas del orden.
Además, Luke Donovan, jefe de inteligencia de amenazas en Searchlight Cyber, explicó cómo los datos filtrados podrían ser valiosos para la comunidad de ciberseguridad.
El experto afirmó que los datos de usuario incluidos en la filtración probablemente pertenecen a afiliados o administradores de la operación de ransomware. Searchlight Cyber ??ha identificado 76 registros, incluyendo nombres de usuario y contraseñas, en los datos publicados.
Estos datos de usuario serán valiosos para los investigadores de ciberseguridad, ya que nos permiten conocer mejor a los afiliados de LockBit y su funcionamiento. Por ejemplo, de esos 76 usuarios, 22 tienen identificadores TOX asociados, un servicio de mensajería popular entre la comunidad de hackers, afirmó Donovan.
Añadió: «Estas identificaciones TOX nos han permitido asociar a tres de los usuarios filtrados con alias en foros de hacking, que usan las mismas identificaciones TOX. Al analizar sus conversaciones en foros de hacking, podremos obtener más información sobre el grupo, por ejemplo, los tipos de acceso que compran a organizaciones de hacking».
Searchlight Cyber ??ha identificado 208 conversaciones entre afiliados de LockBit y víctimas. Los mensajes, que datan de diciembre de 2024 a abril de 2025, podrían ser valiosos para comprender mejor cómo los afiliados de LockBit negocian con sus víctimas.
De hecho, Beek de Rapid7 señaló que los chats filtrados muestran cuán agresivos fueron los afiliados de LockBit durante las negociaciones del rescate.
En algunos casos, las víctimas fueron presionadas para pagar solo unos pocos miles de dólares. En otros, el grupo exigió mucho más: 50.000, 60.000 o incluso 100.000 dólares, dijo Beek.
En cuanto a quién está detrás del hackeo de LockBit, Donovan de Searchlight Cyber ??señaló que el mensaje de desfiguración es el mismo que el mensaje que se mostró el mes pasado en el sitio web hackeado de un grupo de ransomware diferente, Everest .
?Si bien no podemos estar seguros en esta etapa, esto sugiere que el mismo actor o grupo estuvo detrás del ataque a ambos sitios e implica que esta filtración de datos es el resultado de luchas internas en la comunidad cibercriminal?, dijo el experto.
Una declaración publicada en el sitio web de filtraciones de LockBit el 8 de mayo confirmó la vulneración de un panel de administración, pero minimizó el impacto y dijo que los descifradores o los datos confidenciales de las víctimas no se vieron afectados.
LockBitSupp , el cerebro detrás de la operación LockBit, quien según las autoridades es el ciudadano ruso Dmitry Yuryevich Khoroshev, dijo que está dispuesto a pagar por información sobre la identidad del individuo que llevó a cabo el ataque.
Las agencias policiales de todo el mundo han estado tomando medidas para interrumpir LockBit, pero a pesar de haber dado un gran golpe el año pasado, la operación de ciberdelito sigue activa y continúa representando una amenaza para las organizaciones.
Fuente: Securityweek.