Für Lockbit ist es elementar wichtig, schnell wieder sichtbar zu sein. Opfer sind mutmaßlich weniger zahlungsfreudig, solange es Gerüchte gibt, dass die Gruppe nicht mehr einsatzfähig ist.
„Inzwischen ist bekannt geworden, dass Lockbit entgegen eigener Aussagen die gestohlenen Daten nicht löscht. Ein Grund mehr, im Fall einer Erpressung hart zu bleiben und nicht zu zahlen. Sie haben eine neue .onion-Leak-Site eingerichtet. Die Gruppe behauptet dort, dass die Ermittlungsbehörden für den Takedown eine PHP-Schwachstelle genutzt haben. Das ist eine PR-Aktion. Lockbit will damit den Schaden des Takedowns relativieren und Stärke zeigen. Laut eigenen Angaben wurde Lockbit über eine unbekannte PHP-Schwachstelle kompromittiert. Nur Server, auf denen PHP lief, seien kompromittiert worden. Die Aussage erscheint aus zwei Gründen unglaubwürdig: Wenn sie nicht genau wissen, wie sie kompromittiert wurden, wie können sie dann sicher sein, dass es über PHP lief? Die Aussage zu den betroffenen Servern klingt nach kommunikativer Schadensbegrenzung oder ist einfach Wunschdenken.
Die Aktion der Ermittlungsbehörden war äußerst umfassend und zielte auf die drei Dinge ab, die die wahre Stärke einer Ransomware-as-a-Service-Marke ausmachen: Die Marke selbst, die Partnerorganisationen, die die Operationen ausführen und nicht zuletzt die finanziellen Vermögenswerte der Gruppe. Der Schlag gegen die Gruppe im Darknet wurde unterstützt durch massive Aktionen in der realen Welt, um etwa Personen zu verhaften, die mit Lockbit zusammenarbeiten. Die beschlagnahmte Website wurde von den Ermittlungsbehörden verwendet, um eine Warnmeldung direkt an die Partner zu senden, die Lockbit-Leak-Site und die Marke Lockbit wurden eingesetzt, um Lockbit und Partnerorganisationen zu verhöhnen und zu verunglimpfen. Außerdem haben die Ermittlungsbehörden laut eigenen Angaben mehr als 200 Wallets mit Kryptowährungen und mehr als 1.000 Entschlüsselungscodes beschlagnahmt.
Lockbit ist vor Strafverfolgung geschützt
Zwei Dinge deuten leider darauf hin, dass Lockbit ein Comeback schaffen könnte: Viele Mitglieder sind wahrscheinlich in Russland oder russlandfreundlichen ehemaligen Sowjetstaaten angesiedelt und so vor internationalen Strafverfolgungsbehörden geschützt. Außerdem haben die Ermittlungsbehörden 15 Millionen Dollar Kopfgeld für Informationen ausgesetzt, die zur Identifizierung der Anführer der Lockbit-Gruppe führen – was darauf hindeutet, dass sie diese Personen derzeit leider noch nicht kennen.“ (Rüdiger Trost, Cybersecurity-Experte von WithSecure)
Mehr bei WithSecure.com
Über WithSecure WithSecure, ehemals F-Secure Business, ist der zuverlässige Partner für Cybersicherheit. IT-Dienstleister, Managed Security Services Provider und andere Unternehmen vertrauen WithSecure – wie auch große Finanzinstitute, Industrieunternehmen und führende Kommunikations- und Technologieanbieter. Mit seinem ergebnisorientierten Ansatz der Cybersicherheit hilft der finnische Sicherheitsanbieter Unternehmen dabei, die Sicherheit in Relation zu den Betriebsabläufen zu setzen und Prozesse zu sichern sowie Betriebsunterbrechungen vorzubeugen.