LockBit startte zijn operaties opnieuw op nadat het vorige week een knauw kreeg van politiediensten. De ransomware groep lanceerde tijdens het weekend een nieuwe website om slachtoffers op af te persen. Het eindverdict over de internationale actie tegen LockBit is echter positief. Welke gevolgen draagt de ransomware groep?

Update 29-2, 10u: De operaties van LockBit blijken al door te gaan met bijgewerkte encryptors. Daarnaast zijn er al nieuwe servers actief, dat blijkt uit de losgeldberichten die nieuwe slachtoffers ontvingen. Op de servers draait de infrastructuur voor de nieuwe leak site en voor de website waarop onderhandelingen tussen de ransomware groep en slachtoffers plaatsvindt.

Origineel 26-2, 11u35: LockBit maakte zaterdag bekend zijn operaties opnieuw op te starten. Hiervoor werd een nieuwe website ingericht waarop het slachtoffers afperst. Hier worden de namen van organisaties genoemd waarvan data werd gestolen met LockBit ransomware. De naam van het slachtoffer wordt vergezeld door een aftelklok die aantoont binnen welke tijdspanne het losgeld moet worden betaald. Na het verlopen van de tijd gaat het hackerscollectief over op het openbaar maken van de gestolen data. Vijf nieuwe slachtoffers staan al op de nieuwe .onion website.

Herstellen van operatie Cronos

Vorige week konden politiediensten de eerdere leak site van de ransomware groep overnemen. Verschillende internationale politiediensten, waaronder de Nederlandse politie en Europol, pakten hiervoor 34 servers aan. De gezamenlijke actie draagt de naam operatie Cronos.

Europol deelde na de operatie al mee dat er nog verdere acties nodig zullen om LockBit te stoppen. De ransomware groep blijkt snel van de internationale actie te zijn hersteld. Het hackerscollectief deelde vorige week dan ook al mee dat niet alle servers betrokken waren bij de internationale actie, maar alleen deze die draaien op de programmeertaal PHP.

In een nieuw bericht haalt het nu aan hoe het mogelijk was dat de politiediensten de website konden overnemen. Zo blijken er twee cruciale servers te zijn overgenomen door een kritieke kwetsbaarheid in PHP 8.1.2. Vanwege mijn persoonlijke nalatigheid en onverantwoordelijkheid ben ik lui geweest en heb ik PHP niet op tijd bijgewerkt, schrijft de blogger van LockBit. De nieuwe servers draaien nu de laatste versie van PHP 8.3.3. Een link naar het volledige bericht werd gedeeld door BleepingComputer.

Deze versturen we 3-4x per jaar.