Băng đảng Lockbit “hồi sinh” sau khi bị cảnh sát các nước phối hợp triệt phá

Vào ngày 20/2, nhóm tin tặc cực kỳ nguy hiểm LockBit đứng đằng sau hàng loạt vụ tấn công mạng quy mô lớn gây thiệt hại hàng tỷ USD đã bị  lực lượng cảnh sát tại nhiều quốc gia châu Âu và Mỹ triệt phá trang web của băng đảng này.

Thủ lĩnh của nhóm tin tặc này, đã bị cảnh sát bắt giữ, hàng loạt máy chủ, tài khoản mạng xã hội, trang web chính thức và các mã để mở khóa cho dữ liệu của các nạn nhân đã bị Lockbit tấn công đã bị cảnh sát thu giữ.

Tuy nhiên, nhóm có trụ sở tại Nga nay đã thiết lập một trang web mới bằng cách sử dụng cơ sở hạ tầng mới, để đăng một số ít nạn nhân bị rò rỉ và bị đánh cắp dữ liệu cũng như đưa ra một tuyên bố giải thích việc băng này đã bị Cơ quan chống tội phạm mạng của Anh – NCA, FBI, Europol và các cơ quan cảnh sát khác cản trở hoạt động vào tuần trước.

Một nhóm các tin tặc đã tuyên bố, các thành viên còn lại của Lockbit đã thành lập một trang web mới và khẳng định lực lượng cảnh sát mới chỉ có thể thu giữ được mã khóa để giải mã cho 2,5% các vụ tấn công kể từ khi Lockbit được thành lập và các máy chủ dự phòng của chúng vẫn "chưa bị đụng đến".

Nhóm Lockbit tuyên bố thêm, họ vẫn nắm giữ các dữ liệu đánh cắp được và các nạn nhân bắt buộc phải trả tiền chuộc mới có thể phục hồi dữ liệu.

Nhóm này cho biết cơ quan thực thi pháp luật đã tấn công trang web đen trước đây của họ bằng cách sử dụng lỗ hổng trong ngôn ngữ lập trình PHP, ngôn ngữ được sử dụng rộng rãi để xây dựng trang web.

Tuyên bố viết: “Tất cả các máy chủ khác có blog sao lưu chưa cài đặt PHP đều không bị ảnh hưởng và sẽ tiếp tục cung cấp dữ liệu bị đánh cắp từ các công ty bị tấn công”.

Để đạt được mục tiêu đó, nhóm khét tiếng này đã chuyển cổng rò rỉ dữ liệu của mình sang địa chỉ mới trên mạng TOR, liệt kê 12 nạn nhân mới tính đến thời điểm hiện tại.

Quản trị viên đằng sau LockBit, cho biết một số trang web của họ đã bị tịch thu rất có thể do khai thác một lỗ hổng PHP nghiêm trọng được theo dõi là CVE-2023-3824, đồng thời thừa nhận rằng họ không cập nhật PHP do "sơ suất cá nhân và sự vô trách nhiệm."

Họ cũng tuyên bố Cục Điều tra Liên bang Mỹ - FBI đã "hack" cơ sở hạ tầng của họ vì vụ tấn công ransomware vào hạt Fulton hồi tháng 1 và “các tài liệu bị đánh cắp chứa rất nhiều điều thú vị và các vụ án của Donald Trump có thể ảnh hưởng đến cuộc bầu cử Mỹ sắp tới.”

Tuyên bố ý định bỏ phiếu cho Donald Trump trong cuộc bầu cử tổng thống Mỹ và đề nghị tuyển dụng cho bất kỳ ai đã hack trang web chính của LockBit.

Theo cơ quan thực thi pháp luật, LockBitSupp, quản trị viên của nhóm và được cho là tác giả của tuyên bố, không sống ở Hoa Kỳ. Các cơ quan liên quan đến hoạt động LockBit cũng nói thêm rằng “LockBitSupp đã tham gia vào cơ quan thực thi pháp luật”.

Ngoài việc kêu gọi tấn công khu vực “.gov" thường xuyên hơn, bài đăng của băng này cũng cố gắng làm mất uy tín của các cơ quan thực thi pháp luật, tuyên bố dùng ransomware thực sự vẫn chưa được xác định và các hành động của FBI là "nhằm mục đích hủy hoại danh tiếng của chương trình liên kết của tôi."

Họ nói: “Tại sao phải mất 4 ngày để khôi phục? Bởi vì tôi phải chỉnh sửa mã nguồn cho phiên bản PHP mới nhất vì không tương thích”.

Một số nguồn tin nội bộ cho biết các thành viên của Lockbit vẫn còn rất đông ở rải rác trên khắp toàn cầu và sau chiến dịch càn quét vừa rồi họ trở nên cảnh giác hơn và che giấu tung tích cẩn thận hơn.

Sau tuyên bố của Lockbit, NCA cho biết: “Chúng tôi nhận thấy LockBit có thể sẽ cố gắng tập hợp lại và xây dựng lại hệ thống của họ. Tuy nhiên, chúng tôi đã thu thập được một lượng lớn thông tin tình báo về họ và những người có liên quan đến họ, đồng thời công việc của chúng tôi nhằm nhắm mục tiêu và ngăn chặn họ vẫn tiếp tục.”