Cine a trădat regele criminalităţii cibernetice mondiale? Anatomia prăbuşirii imperiului LockBit

Cine a vrut pielea LockBit, furnizor major al criminalităţii cibernetice mondiale? Este fondatorul său rus de neoprit liber, arestat sau mort? Şi ce joc dubios joacă Kremlinul cu escrocii cibernetici, la graniţa dintre dark web şi lumea reală? - sunt întrebări la care jurnaliştii de la AFP încearcă să răspundă.

Potrivit sursei citate, pe 7 mai, LockBit a fost victima unei breşe în propriul său sistem şi a unui furt parţial de date. O umilinţă pentru fostul număr unu mondial în materie de ransomware — acele programe maliţioase care pătrund în sistemul unei companii, îi jefuiesc conţinutul şi permit extorcarea de bani de la proprietarii acesteia.

Pe site-ul lor a apărut un mesaj batjocoritor: „Don’t do crime, crime is bad, xoxo from Prague” [„Nu comiteţi crime, crima e rea. Pupici din Praga” - n.tr.]. De atunci, în mica lume a cyber threat intelligence (informaţii privind ameninţările cibernetice, CTI), anecdota provoacă râsete şi reflecţii.

LockBit era un furnizor esenţial de servicii pentru „afiliaţii” săi — hackerii de ransomware. Furniza în special software-ul de atac, criptarea pentru apropierea de victime, găzduirea datelor furate, metodele de spălare a banilor.

Ca un intermediar care ar furniza paşapoarte, arme de foc şi maşini unui grup terorist. Doar că tranzacţia are loc în criptomonede şi nu există nici nume, nici chip vizibil, nici contact fizic.

Damien Bancal, expert în criminalitate cibernetică de peste 30 de ani, oferă contextul: O criză ca aceasta zguduie întreaga comunitate şi generează o multitudine de comentarii şi dialoguri, pe internet sau pe dark web, care „permit o privire de ansamblu asupra manipulărilor la care se dedau sau de care sunt victime (LockBit şi alte grupuri — n.r.), fie ele financiare, tehnice sau geopolitice”, a explicat el pentru AFP.

„Un brand”

În 2023, LockBit era responsabil pentru 44% dintre atacurile ransomware la nivel mondial, potrivit expertului. Vânat de poliţiile occidentale, a suferit un prim val de arestări, coordonat de Londra şi Washington, în februarie 2024, în zece ţări, ceea ce i-a afectat serios credibilitatea.

În Franţa, secţia de combatere a criminalităţii cibernetice din cadrul Parchetului din Paris a deschis o anchetă împotriva LockBit, precum şi mai multe dosare distincte implicând afiliaţi şi membri ai altor grupuri infracţionale cibernetice.

Doar în 2024, secţia a primit plângeri privind 450 de atacuri ransomware, dintre care LockBit era cel mai activ grup.

„LockBit era cu adevărat un brand”, confirmă Parchetul din Paris.

Recentele intruziuni – sălbatice şi ciudat de nerevendicate – în sistemul grupului aproape mort au pus capăt carierei sale.

„LockBit era numărul unu. Astăzi, e în modul de supravieţuire şi a mai primit o lovitură prin această scurgere de date”, explică Vincent Hinderer, responsabil cu CTI la Orange Cyberdéfense (OCD).

Activitatea grupului continuă cu greu. Dar monitorizarea discuţiilor online, a negocierilor şi portofelelor virtuale indică „atacuri cu răscumpărări mici, deci un randament relativ slab al investiţiei”.

Mafia 3.0

În lumea criminalităţii cibernetice, raporturile de forţă pot oscila în câteva clicuri.

„Unele grupuri ajung dominante, apoi devin depăşite. Conti era lider, apoi LockBit, apoi RansomHub. Azi, alţii preiau conducerea”, spune Hinderer.

„Putem face o paralelă cu lupta antiteroristă. Tai un cap, cresc altele”, admite un funcţionar francez din domeniul apărării cibernetice, sub protecţia anonimatului.

Primul lucru cert: domeniul este dominat de lumea rusă.

În top 10 al grupurilor de criminalitate cibernetică, „două sunt chineze, restul sunt rusofone, majoritatea încă localizaţi fizic în Rusia sau în state satelit”, spune o autoritate în domeniu din sectorul privat, care de asemenea cere anonimatul.

Vineri, Europol şi Eurojust au anunţat o nouă operaţiune. 20 de mandate de arestare, „în majoritate vizând cetăţeni ruşi”, conform parchetului din Frankfurt şi poliţiei federale germane. 300 de servere dezactivate, dintre care 50 în Germania. Confiscări de 3,5 milioane de euro în criptomonede.

A doua certitudine: statul rus joacă un joc complicat cu aceste bande. Funcţionarul francez descrie astfel „permeabilitatea tacită cu serviciile statului” a acestei „mafii 3.0”.

„Nu putem spune că aceste grupuri sunt comisionate de statul rus, dar indulgenţa şi impunitatea de care beneficiază sunt suficiente pentru a face statul complice.”

„Căutat: 10 milioane de dolari”

Scurgerea de date LockBit, larg comentată în comunitatea de observatori cibernetici, a relevat că un afiliat a atacat un oraş rusesc cu 50.000 de locuitori.

Ghinion: fondatorul, un anume Dimitri Korocev, trăieşte în Rusia. Or, „nu ataci în propria ţară dacă nu vrei probleme cu justiţia”, rezumă Hinderer.

LockBit a oferit imediat un software de decriptare municipalităţii – un antidot al propriei otrăvi. Dar acesta nu a funcţionat.

„FSB a intervenit şi a rezolvat discret problema”, afirmă funcţionarul francez.

Aceeaşi sursă menţionează şi cazul lui Maxime Yakubets, membru al grupului Evil Corp, căutat de Washington, dar care afişează o colecţie extravagantă de maşini de lux, unele cu plăcuţe rezervate oficialilor ruşi de rang înalt.

Cât despre Korocev, capul său este pus la bătaie pentru 10 milioane de dolari de către Departamentul de Stat american. În aprilie 2024, site-ul oficial al instituţiei afişa poza tânărului rus de 32 de ani, cu chip fin şi privire pătrunzătoare. Dar greutatea, înălţimea, culoarea ochilor şi a părului erau necunoscute.

„Din ianuarie 2020, LockBit a atacat peste 2.500 de victime în lume, dintre care circa 1.800 în SUA, (...) încasând cel puţin 150 de milioane de dolari în plăţi de răscumpărare în criptomonede”, preciza Departamentul de Stat.

Sumă care, spun experţii, nu reprezintă decât partea sa de 20% din câştigul total al operaţiunilor.

Este cunoscut drept grandilocvent, provocator, egocentric – promite bani cui îşi tatuează logo-ul sau găseşte o breşă în serverele sale.

„O să lucrezi pentru noi”

Restul? Mister total.

„Atât timp cât nu iese din Rusia, nu va fi arestat”, spune expertul din sectorul privat. Dar „nici nu e clar dacă mai e în viaţă”.

Toate sursele descriu comportamentul ambiguu al autorităţilor ruse, între supraveghere strânsă, toleranţă strategică şi manipulare politică.

„Statul rus le dă mână liberă acestor grupuri. E foarte mulţumit de această formă de hărţuire permanentă”, afirmă expertul. Mai ales când ţintele sunt Ucraina sau ţările occidentale.

Damien Bancal evocă cazul Sodinokibi (REvil), un grup demantelat în ianuarie 2022:

„FBI a ajutat FSB să-i aresteze. Când au fost prinşi, aveau lingouri de aur şi saltelele pline de bani”, spune el.

De atunci, invazia rusă în Ucraina a schimbat totul si „nimeni nu mai colaborează cu nimeni”.

Întrebat luni dacă există o cerere oficială a SUA pentru date despre Dimitri Korocev, purtătorul de cuvânt al Kremlinului, Dmitri Peskov, a răspuns că „nu are nicio informaţie”.

Potrivit acestuia, „există contacte între serviciile speciale (ruse şi americane), dar nu se poate vorbi despre o cooperare reală”.

De fapt, Moscova profită pe scară largă de aceste extorcări.

„Arestarea unor ransomware-şti profesionişti înseamnă a pune mâna pe toate datele furate. E o comoară”, spune Bancal.

Dincolo de bani şi criptomonede, „sunt zeci sau sute de milioane de informaţii furate de la companii”.

În noiembrie 2024, o lege rusă a intrat în vigoare, permiţând folosirea criptomonedelor pentru ocolirea sancţiunilor occidentale, dar reglementând strict producţia acestora. Doar firmele dintr-un registru special au voie să le creeze la scară mare.

Dar represiunea e arbitrară. Anul trecut, în august, un hacker rus a fost returnat Rusiei în cadrul unui schimb de prizonieri cu ţări occidentale.

Şi, cu toate că justiţia rusă condamnă uneori hackeri, Damien Bancal crede că regulile reale sunt altele: „Te arestez, îţi aplic câteva corecţii ruseşti şi te eliberez. Dar o să lucrezi pentru noi.”

Criminalii se supun, forţaţi, uneori bucuroşi că servesc patria şi au trecut „de partea bună a forţei”.

Fondatorul LockBit, Dimitri Korocev — sau cine pretinde că e el — încearcă să rămână în picioare. A minimizat amploarea datelor furate pe 7 mai. Şi a oferit o recompensă celui care-l va ajuta să-l găsească pe atacatorul său.

„Daţi-mi informaţii despre el, cine e — plătesc dacă e autentică”, a scris el pe site.

Până atunci: „Bon baisers de Prague” – pupici din Praga.