يتم اختراق عصابة Lockbit Ransomware ، وتسرب 60 ألف عناوين Bitcoin

By: cryptopolitan|2025/05/08 20:15:05

تم ضرب مجموعة Ransomware Group بواسطة هجوم إلكتروني كشف عملياته الداخلية. تم تسريب ما يقرب من 60،000 عناوين محفظة Bitcoin المرتبطة بأنشطة المجموعة ، إلى جانب الآلاف من اتصالات الضحايا والسجلات التفصيلية من البنية التحتية للواجهة الخلفية.حدث الانتهاك ، الذي لاحظه الباحث في CyberCriminal ، في وقت متأخر من يوم الأربعاء ، في نهاية أبريل 2025. تم تشويه لوحات الويب المظلمة على شبكة الإنترنت من Lockbit ، واستبدلها رسالة تقرأ ، "لا تفعل الجريمة. الجريمة سيئة Xoxo من براغ ، مع رابط لتفتت قاعدة بيانات MySQL بعنوان" Panydb_dumb.zip ". لذا حصلت على pwned ... xd pic.twitter.com/jr94bvj2dm- Rey (@REYXBF) 7 مايو 2025"يشير التحليل الأساسي لقاعدة البيانات إلى أن التفريغ تم إنشاؤه في حوالي 29 أبريل ، مما يشير إلى أن Lockbit تعرض للخطر في ذلك التاريخ أو قبل ذلك في 7 مايو ،" أكد Rey. تعرض البيانات في تفريغ اللوحةوفقًا لـ REY ، مستشهداً بتحليل من منشور الأمن السيبراني BleepingComputer ، كان هناك حوالي 20 جدولًا في قاعدة البيانات التي تم تسريبها ، بما في ذلك جدول BTC_ADDRESS الذي أدرج 59،975 عناوين محفظة Bitcoin الفريدة المتصلة بمدفوعات أدوات السدود في Lockbit.تتضمن البيانات البارزة الأخرى في التسرب جدول "بناء" ، والذي يشرح تفاصيل حمولات Ransomware التي تم إنشاؤها بواسطة الشركات التابعة Lockbit. يتضمن الجدول مفاتيح التشفير العام ، وفي بعض الحالات ، أسماء الشركات المستهدفة. أظهر جدول "Builds_Configurations" الملفات أو الخوادم التابعة لتكوين هجماتها لتجنب أو تشفير ، والعديد من التكتيكات التشغيلية الأخرى المستخدمة في حملات الفدية السابقة.كما هو موضح في طاولة واحدة يطلق عليها "الدردشات" ، كان هناك أكثر من 4400 رسالة تفاوض بين الشركات التابعة لوكيت والضحايا ، التي تمتد من 19 ديسمبر 2024 ، إلى 29 أبريل 2025. pic.twitter.com/gjbtzqg9vm-Ransom-DB (@ransom_db) 8 مايو 2025يعرض Dump أيضًا جدول "المستخدمين" الذي يدرج 75 مسؤولًا وشركات تابعة مع إمكانية الوصول إلى لوحة الواجهة الخلفية للمجموعة. صدمت أمنية الأمان لاكتشاف أن كلمات مرور المستخدم تم تخزينها في نص عادي.ذكر باحث الأمن السيبراني مايكل جيليسبي بعض كلمات المرور المكشوفة ، بما في ذلك "Weekendlover69" و "Moving Bricks69420" و "LockbitProud231". أكد LockBitsupp ، المشغل المعروف لمجموعة Lockbit ، في دردشة توكس مع Rey أن الخرق كان حقيقيًا. ومع ذلك ، أصر المشغل على عدم فقدان مفاتيح خاصة أو بيانات مهمة. استجابة من Lockbitsupp (هذه صورة مترجم): pic.twitter.com/l54g1a5hxz- Rey (@REYXBF) 7 مايو 2025وقال آلون جال ، كبير مسؤولي التكنولوجيا في هدسون روك ، إن البيانات تتضمن أيضًا بناء رانسومواري مخصص وبعض مفاتيح فك التشفير. وفقًا لـ GAL ، إذا تم التحقق منها ، فقد تساعد المفاتيح بعض الضحايا على استعادة بياناتهم دون دفع فدية.استغلال نقاط الضعف الخادمكشف تحليل لتفريغ SQL أن الخادم المتأثر كان يعمل على تشغيل PHP 8.1.2 ، وهو نسخة عرضة لخلة ، أناdentعلى أنها "CVE-2024-4577". يتيح الثغرة الأمنية تنفيذ الكود عن بُعد ، وهو ما يفسر كيف تمكن المهاجمون من التسلل إلى أنظمة الواجهة الخلفية في Lockbit و exfiltrate. يعتقد أخصائيو الأمن أن أسلوب الرسالة البديلة قد يربط بينdent بخرق حديث لموقع إيفرست رانسومواري ، الذي استخدم نفس "الجريمة سيئة". يشير التشابه إلى أن نفس الممثل أو المجموعة قد يكون وراء كل من incident، على الرغم من أنه لم يتم تأكيد أي إسناد واضح.لم يتقدم المتسللون وراء الخرق ، لكن كيفن بومونت ، وهو جماعة أمنية مقرها المملكة المتحدة ، قال إن مجموعة دراجونفورس قد تكون مسؤولة. "شخص ما اخترق Lockbit. سأخمن Dragonforce" ، كتب على Mastodon.وفقًا لـ BBC ، زُعم أن Dragonforce شارك في العديد من الهجمات الإلكترونية على تجار التجزئة في المملكة المتحدة ، بما في ذلك Marks & Spencer و Co-op و Harrods.في عام 2024 ، عملية Cronos ، وهي جهد متعدد الجنسيات بقيادة المملكة المتحدة شمل وكالات إنفاذ القانون من عشر بلدان ، بما في ذلك مكتب التحقيقات الفيدرالي (FBI) أنشطة Lockbit مؤقتًا ، على الرغم من أن المجموعة عادت في النهاية إلى الظهور .وبحسب ما ورد قامت العملية بإسقاط 34 خادمًا ، وصادرت محافظ التشفير ، وكشفت أكثر من 1000 مفتاح فك التشفير. يعتقد إنفاذ القانون أن مشغلي Lockbit في روسيا ، وهو ولاية قضائية يصعب تحقيقها إلى العدالة. يركز عصابات Ransomware على عملياتهم داخل حدود روسيا لأن الاعتقالات المباشرة مستحيلة تقريبًا.سلك الاختلاف الرئيسي يساعد العلامات التجارية المشفرة على اختراق العناوين الرئيسية للسيطرة على العناوين الرئيسية