LockBit 3.0 : des indépendants très divers

Les plus modestes

Les acteurs les moins avancés se contentent du courrier électronique, de la messagerie chiffrée Tox, de Session, de Telegram, et/ou de Jabber pour conduire les négociations. Ils ne semblent pas disposer de site vitrine pour revendiquer leurs attaques et divulguer les données de leurs victimes. 

Certains se sont donné un nom, d’autres pas. Parfois, le montant demandé en rançon est clairement mentionné dans la mal nommée ransom note. Ce fichier texte déposé par le ransomware à son exécution ne contient pas toujours de montant ; c’est même exceptionnel avec les groupes pratiquant la double extorsion. 

Là, nous avons constaté des montants parfois très bas – de quelques centaines de dollars, en bitcoin, à quelques milliers. Cela vaut pour celui qui se fait passer pour « LockBit 4.0 » ou encore AsiriumSquad et Ikaruz Red Team. Le premier apparaît avoir réussi à se faire payer au moins 10 fois depuis début février, pour un total d’un peu plus de 0,15 btc. C’est le seul du lot pour lequel nous avons pu retracer les paiements.

Random131313 se distingue, dans ce groupe, par une tarification progressive, de 2 000 $ à 11 000 $ suivant le temps écoulé, et avec une condition : pas de négociation, tant que 2 000 $ n’ont pas déjà été versés.

Le cluster TronBit n'est guère plus exigeant mais se fait payer en USDT-TRC20. Et il semble y être parvenu plus de 70 fois depuis le début 2024. 

Ces acteurs malveillants n’en sont pour autant pas moins dangereux. Les équipes de renseignement sur les menaces d’Equinix en suivent ainsi un, sous la référence ETG-01, qui utilise le builder de LockBit 3.0 pour les systèmes Windows et un variant de Babuk pour les hôtes VMware ESXi, appelé SEXi.

Ceux qui préparent leur montée en gamme

Dans cette catégorie-là, nous avons observé deux enseignes émergentes : Brain Cipher Ransomware et Nullbulge Lock. Aucun des deux n’a de vitrine connue à l’heure où ces lignes sont publiées. Mais tous les deux fournissent un lien vers une interface Web, accessible via Tor, pour les négociations. 

Celle de Brain Cipher Ransomware est, pour l’heure, assez basique, mais sa seule existence suggère celle d’un backend de gestion des négociations et des paiements tels qu’un système de gestion de tickets de support ou de relation client. 

Selon nos informations, les opérateurs de Brain Cipher Ransomware ont déjà fait des victimes de premier rang, demandant des rançons à six chiffres. L’apparition prochaine d’une vitrine aux couleurs de cette enseigne apparaît dès lors vraisemblable. 

Ceux qui l’ont déjà opérée

Deux enseignes sont déjà passées à l’étape suivante : DragonForce et SenSayQ. Le site vitrine de ce dernier a été découvert début juin. Pour l’heure, seules deux victimes y ont été revendiquées.

DragonForce est plus prolixe : on lui connaît 65 victimes à ce jour, dont un opérateur de transports en commun à Honolulu, ou encore Seafrigo en France. Son site vitrine est connu depuis la mi-décembre 2023. Selon Cyble (spécialiste du renseignement sur les menaces), le groupe est effectivement apparu en novembre dernier. 

La note de rançon déposée à l’occasion du déclenchement du chiffrement contient, comme il se doit, les informations nécessaires pour engager la négociation. 

DragonForce accepte la négociation par Tox ou via une interface Web dédiée, tandis que SensayQ prend en charge le mail et sa propre interface Web. 

Les revendications de DragonForce font ressortir d’importantes différences dans les volumes de données volées et ainsi, potentiellement, l’attention apportée à conduire les attaques en profondeur et avec discrétion : de quelques gigaoctets de données à plusieurs centaines de gigaoctets, selon les cas. Chaque divulgation apparaît faire l’objet de la création d’un onion dédié – sans que cela implique un serveur différent à chaque fois.