LockBit neutralisé par la NCA Anglaise, Réactions à la publication du 20/02/2024

[Paul Emploi]

[MàJ par Philippe]

Les activités ont redémarrées dès hier, avec de nouvelles attaques utilisant des outils LockBit mais aussi d'autres, et ciblant des cliniques et des administrations locales.
Un camouflet cinglant pour la NCA et l'opération Cronos.

Vous voulez en savoir plus? Suivez ici.

[Sujet initial]

La NCA National Crime Agency, service policier anglais spécialisé dans le crime en bande organisée, a neutralisé le groupe de hackers LockBit, jugé le plus nocif existant.


La NCA est peu connue hors Angleterre, mais comprend des équipes dédiées à la lutte contre la cybercriminalité, et vient aujourd'hui d'annoncer cette réussite incroyable, qui met fin à 4 ans d'attaques à travers le monde.

LockBit est un groupe cybercriminel de hackers, spécialisé dans les ransomwares, avec à son actif plus de 2500 victimes sur 1700 cyberattaques et plusieurs milliards d'euros de dommages directs et indirects. Ils louent aussi leur malware et leur infrastructure technique à d'autres hackers.
En France, 200 entreprises, administrations, écoles et même hôpitaux auraient été touchés.

En sus de les avoir neutralisé, la NCA se serait emparée de près de 200 de leurs comptes ou wallets de cryptomonnaies, le code-source des outils développés pour ces attaques, mais surtout un millier de clés de déchiffrement qui vont permettre de restaurer les données chez autant de victimes récentes!

Lien vers le billet original

[Laszlo Lebrun]

Le reste de la presse dit que c'est la coopération de dizaines d'organismes de plusieurs pays qui a obtenu ce résultat brillant, pas seulement la NCA.

[Elfeclair]

Vu sur https://www.bleepingcomputer.com/news/secur...lice-operation/

[DiarOne]

Le reste de la presse dit que c'est la coopération de dizaines d'organismes de plusieurs pays qui a obtenu ce résultat brillant, pas seulement la NCA.

Donc en gros, plusieurs services ou organismes ont aidé à l'enquête, mais c'est bien la NCA qui a neutralisé, donc procédé aux arrestations...

En gros, l'article n'est pas faussé car je n'ai lu nulle part qu'il était écrit que la NCA avait enquêté seul, il manquait juste les détails.

Ce message a été modifié par DiarOne - 21 Feb 2024, 10:29.

[Mac Arthur]

On est tout à fait d'accord mais il faut occuper le terrain !

[Benzebut]

La NCA National Crime Agency, service policier anglais spécialisé dans le crime en bande organisée, a neutralisé le groupe de hackers LockBit, jugé le plus nocif existant.

La NCA est un des acteurs de la neutralisation du groupe de hackers LockBit. Car l'Opération Cronos a impliqué de multiples partenariats avec Europol et le FBI, soit 11 agences à l'international. En l'état, le NCA a eu accès au dernier serveur qui a fait tomber le groupe et l'opération a pu être communiquée.

Ce qui est amusant dans les informations, c'est qu'en France c'est Europol qui est mis en avant, aux Etats-Unis le FBI et au Royaume-Uni le NCA. Tout n'est que question de point de vue finalement...

[DOMY]

Quoi qu'il en soit ... qu'ils les étripent ces salopards !!!!

[kenzo05000]

Quoi qu'il en soit ... qu'ils les étripent ces salopards !!!!

Goudron plumes, et exécution sur la place de Grève.
S'attaquer a des hôpitaux, c'est être né avant la honte.....

[Phil J. Fry]

Note de la modération : On se calme et on évite la politique (Point 9 de la charte du Forum)

[Paul Emploi]

Un point important que je n'ai pas eu le temps d'aborder hier, c'est que LockBit a industrialisé le concept de Hacking as a service (piratage en tant que service).

Leur capital (CAPEX) est leurs logiciels dont les code-source ont été maintenant récupérés, leurs opérations (OPEX) consistant à offrir une infrastructure virtuelle pour mener les attaques et communiquer, et leur source de revenu les mêmes 30% que l'AppleStore dans certains cas, le store XBOX ou celui de PlayStation, mais sur les sommes payées par les victimes.
Le contrôle étant de faire passer les communications, ces paiements et les clés de déchiffrement des données par leurs serveurs.
Le capital et son renouvellement est le plus coûteux, un bel investissement en R&D, l'infrastructure ne coûtant quasiment rien puisque les données chiffrées n'y transitent pas car elles restent chez la victime dans ce business model.

Il suffit alors pour qu'un quidam lance une attaque de les contacter, de s'inscrire, d'utiliser leurs outils tels-que, puis d'attendre que la victime paie pour là récupérer ses 70% sur les sommes versées. Sans même avoir à investir initialement, il suffit d'avoir une belle absence d'éthique et un attrait immodéré pour l'argent.

Cela permet à tout un chacun d'exploiter leurs outils, et des milliers l'ont fait, pour attaquer alors bien plus massivement toute infrastructure réseau connectée à Internet, sans avoir besoin des connaissances et du savoir-faire d'un excellent pirate. L'industrialisation!
Ils ont ainsi popularisé le piratage et le ransomware, avec des milliers de criminels en ayant profité.

[Hebus]

On va avoir droit à un film… sacré scénario tant du côté crime organisé que du côté enquête internationale

[Paul Emploi]

Juste une poignée d'arrestations quand on parle d'au moins un millier de criminels?

J'espère de futurs développements, avec plus d'arrestations d'acteurs de LockBit qui ne sont pas arrivés probablement faute de véritable coopération, ou qui sont arrivés sans être rapportés pour le même problème, mais aussi des centaines pour ceux qui ont utilisé cette plateforme de piratage comme service.
Là il y aura matière à vraiment se réjouir, et à faire un film.

Pour l'instant, les criminels sont quasi-tous dans la nature, et il suffit de mettre à jour les logiciels (un maigre investissement en CAPEX) et de relouer des infrastructures virtuelles (OPEX), pour que tout reparte comme avant. Une affaire de semaines ou au pire de mois. Ça pourrait devenir une hydre.
Ça n'est que le début de cette histoire, la NCA et les autres semblent avoir frappé trop tôt, trop vite, et sans avoir identifié les acteurs de LockBit, peut-être un échec...

C'est pour cela que je n'ai pas poussé un cri de joie. Une avancée, oui. La victoire, ça me paraît peu probable, faute justement de coopération et de coordination.
Leurs actions et annonces semblent prématurées. Et je connais ce milieu, des deux cotés.

[Benzebut]

Ça n'est que le début de cette histoire, la NCA et les autres semblent avoir frappé trop tôt, trop vite, et sans avoir identifié les acteurs de LockBit, peut-être un échec...

C'est pour cela que je n'ai pas poussé un cri de joie. Une avancée, oui. La victoire, ça me paraît peu probable, faute justement de coopération et de coordination.
Leurs actions et annonces semblent prématurées. Et je connais ce milieu, des deux cotés.

Pourquoi les acteurs de l'opération Cronos auraient-ils frappé trop tôt, trop vite ? Le réseau LockBit est actuellement démantelé et les codes sources sont connus, tout autant que les serveurs d'instance. Tout le CAPEX et OPEX actuel est maitrisé, ce qui laisse peu de marge de manœuvre et le réseau est KO. Même les comptes bancaires sont gelés par Interpol.

Après c'est toujours la même histoire. Cela va inspirer d'autres, qui vont développer des activités similaires pour des buts lucratifs. Mais cela est vrai depuis que le monde existe, sinon tout le monde serait gentil...

[Paul Emploi]

Pourquoi les acteurs de l'opération Cronos auraient-ils frappé trop tôt, trop vite ?

Preuve en est que l'immense majorité des acteurs impliqués tant du coté de LockBit que de leurs utilisateurs sont en liberté aujourd'hui, une poignée d'arrestation sur au moins un millier de criminels ça n'est rien. Juste des vacances forcées. Presque des RTT!
C'est excellent en terme d'OpSec, et un échec flagrant pour NCA et Cronos, qui a juste coupé un doigt et non les organes reproducteurs...

L'infra ne coûte rien et ne prend quasiment pas de temps à être remonté, le code et les outils peuvent être réutilisés immédiatement, sa saisie ayant de l'intérêt pour les blue teams et leurs outils sauf que les cibles usuelles n'ont pas de réels moyens de défense.
Copier du code, s'emparer d'instances, c'est avoir plus d'information et c'est bienvenu. Mais ça n'enlève rien aux criminels.

La seule chose de valeur réelle capturée dans tout cela est le nom LockBit avec le domaine associé sur le réseau tor et son image de marque.
Et bien sûr le millier de clé de déchiffrement qui permettra de sortir de la panade quelques victimes récentes, celles qui n'auront pas fait un grand ménage rapide pour redémarrer leur activité, donc celles sans sauvegardes protégées.

Je m'attend à une réapparition, genre "LickBot", soit à l'identique si en quelques jours, soit bien plus sécurisé si en quelques semaines.

[Benzebut]

Preuve en est que l'immense majorité des acteurs impliqués tant du coté de LockBit que de leurs utilisateurs sont en liberté aujourd'hui, une poignée d'arrestation sur au moins un millier de criminels ça n'est rien. Juste des vacances forcées. Presque des RTT!
C'est excellent en terme d'OpSec, et un échec flagrant pour NCA et Cronos, qui a juste coupé un doigt et non les organes reproducteurs...

Il s'agit de deux choses différentes. Vous ne pourrez pas arrêter tous les voleurs du monde ou les receleurs associés. C'est le principe du crime organisé. Par contre, la méthodologie étant connue, les suivants seront plus aisément identifiables. C'est le principe de l'antidote. Donc point d'échec quand à l'objectif voulu pour l'opération Cronos.

Le fonctionnement de LockBit est désormais déchiffré et le démantèlement du code permet de générer des anti-virus, donc de faire du préventif et anticiper les prochaines versions. Même si encore une fois, d'autres vont copier ces méthodes pour faire des malversations. Les plus grands faussaires ont été arrêtés et pourtant, est-ce la fin des faux papiers ? Cela fut la fin des mauvaises copies seulement, car la manière de les identifier était devenue connue...

[Paul Emploi]

Dès ce jeudi les activités ont été relancées.
Avec 2 arrestations sur plus d'un millier de criminels et seulement quelques jours de pause des opérations, on peut clairement voir qu'il y a malheureusement un échec patent des autorités face à des hackers hautement organisés avec des OpSec exceptionnelles!

Je ne m'explique pas pourquoi la NCA a choisi de communiquer dessus, puisque si certains ont sabré le champagne à cette annonce, dans les faits c'est un coup d'épée dans l'eau avec un risque important en terme de communication et pour les agences impliquées.
C'est humiliant, et ça me gêne pour les personnes ayant participé à ce projet, des personnes de grande qualité, dont des hackers white-hat, qui travaillent à nous défendre.

Cette annonce était probablement prématurée. Et elle fera du mal!