Operacja Cronos. Jak służby weszły do infrastruktury LockBit

blackweb.pl 10 min
lockbit ransomware operation-cronos fbi nca

19 lutego 2024 na stronie wyciekowej LockBit nie pojawiła się kolejna lista ofiar. Zamiast niej był komunikat brytyjskiej National Crime Agency. Służby przejęły serwis, na którym grupa publikowała skradzione dane i negocjowała pod presją ich ujawnienia. Dzień później poznaliśmy nazwę operacji: Cronos.

Sam podmieniony ekran był widowiskowy, lecz ważniejsze rzeczy działy się po drugiej stronie. Międzynarodowy zespół uzyskał dostęp do środowiska administracyjnego LockBit, serwerów i danych o afiliantach. Przejął też klucze, które mogły pomóc części ofiar odzyskać zaszyfrowane pliki. Nie była to zwykła blokada domeny. Policja weszła do zaplecza usługi i przez pewien czas widziała ją od środka.

LockBit wrócił z nową stroną kilka dni później. Dlatego Cronos nie pasuje do wygodnej opowieści o jednym nalocie, po którym znika największa grupa ransomware. Operacja zniszczyła sporą część infrastruktury, odsłoniła administratora i podważyła zaufanie afiliantów. Nie zatrzymała jednak wszystkich ludzi, którzy wcześniej używali tego szyldu.

Firma bez firmy

LockBit pojawił się pod koniec 2019 roku, początkowo jako ransomware ABCD. W kolejnych latach urósł w modelu ransomware as a service. Rdzeń grupy rozwijał kod, utrzymywał panel sterowania i stronę wyciekową. Ataki wykonywali afilianci, czyli niezależni operatorzy dopuszczeni do programu.

Nazwa LockBit sugerowała jedną, zwartą ekipę. W praktyce była marką, zestawem narzędzi i zapleczem wynajmowanym ludziom o różnym doświadczeniu. Afiliant zdobywał dostęp do sieci ofiary, uruchamiał atak i prowadził negocjacje. Administrator dostarczał infrastrukturę oraz brał udział w zysku. To dlatego dwie kampanie oznaczone tym samym logo mogły wyglądać zupełnie inaczej.

Według aktu oskarżenia ujawnionego przez amerykański Departament Sprawiedliwości administrator zwykle pobierał 20 procent okupu, a afiliant pozostałe 80 procent. Europol w pierwszym komunikacie podawał średni udział afiliantów na poziomie około trzech czwartych płatności. Różnica nie zmienia mechanizmu: twórcy platformy zarabiali na cudzych włamaniach, nie musząc osobiście prowadzić każdego z nich.

Panel łączył te role. Pozwalał przygotować wariant programu dla konkretnej ofiary, komunikować się z nią i obsługiwać publikację skradzionych danych. Osobna usługa, nazywana StealBit, służyła do przesyłania wykradzionych plików. Nie opisuję tu sposobu jej użycia. Dla przebiegu śledztwa wystarczy wiedzieć, że była częścią wspólnego zaplecza, a więc również punktem, który można było zająć na podstawie nakazów.

Skala tłumaczy, dlaczego to właśnie LockBit dostał tak kosztowną operację. W lutym 2024 Departament Sprawiedliwości pisał o ponad 2 tysiącach ofiar i przeszło 120 milionach dolarów zapłaconych okupów. Późniejsze postępowanie przeciwko domniemanemu administratorowi mówiło już o ponad 2,5 tysiąca ofiar w co najmniej 120 państwach oraz co najmniej 500 milionach dolarów płatności. Te liczby pochodzą z różnych etapów dochodzenia. Nie należy ich sklejać w jedną precyzyjną księgowość grupy.

Statystyki strony wyciekowej też nie mówiły wszystkiego. Trafiały tam przede wszystkim organizacje, które nie zapłaciły albo nadal były naciskane. Ofiara mogła zapłacić przed publikacją, prowadzić negocjacje poza widokiem publicznym lub wcale nie zgłosić sprawy. Dostęp do panelu dał śledczym pełniejszy zapis przygotowanych ataków i rozmów niż publiczna wystawa urządzona przez samych przestępców.

Wejście do panelu

NCA opisała Cronos jako trzy następujące po sobie działania. Śledczy przeniknęli do systemów LockBit i pozyskali dane, następnie przejęli kontrolę, a na końcu odcięli dotychczasowych operatorów. Publiczny finał był więc ostatnią częścią pracy prowadzonej wcześniej bez rozgłosu.

Dokładnego sposobu wejścia NCA nie ujawniła. Wiadomo natomiast, co znalazło się pod kontrolą zespołu: główne środowisko administracyjne, serwis wyciekowy, fragmenty systemu do transferu danych i serwery w kilku państwach. To wystarcza do zrozumienia operacji bez dorabiania instrukcji technicznej, której nie ma również w dokumentach sądowych udostępnionych publicznie.

Europol podał, że 20 lutego wyłączono 34 serwery w Europie, Australii, Stanach Zjednoczonych i Wielkiej Brytanii. NCA przejęła podstawowe środowisko administracyjne oraz stronę wyciekową w Torze. FBI zajęło infrastrukturę w Stanach Zjednoczonych, w tym serwery wykorzystywane przez StealBit. Zidentyfikowano również ponad 14 tysięcy kont związanych z wykradaniem danych albo obsługą infrastruktury i przekazano je do usunięcia.

Równolegle zatrzymano dwie osoby w Polsce i Ukrainie na wniosek władz francuskich. Zamrożono ponad 200 kont kryptowalutowych, a sądy we Francji i USA wydały nakazy aresztowania i akty oskarżenia wobec kolejnych podejrzanych. Zajęcie serwerów zostało więc powiązane z blokadą pieniędzy oraz sprawami karnymi w kilku jurysdykcjach.

Taka synchronizacja nie była dekoracją do konferencji prasowej. Serwer zajęty w jednym kraju mógł odsyłać do maszyny w drugim, konta finansowego w trzecim i podejrzanego przebywającego jeszcze gdzie indziej. Przedwczesne wyłączenie jednego elementu ostrzegłoby operatorów. Europol podał, że przed finałem odbyło się 27 spotkań operacyjnych i cztery tygodniowe sesje techniczne. Przez jego bezpieczny kanał wymieniono ponad tysiąc wiadomości dotyczących sprawy.

Najcenniejszym łupem nie była jednak plansza z logo NCA. Śledczy zdobyli kod źródłowy platformy oraz dane zapisane w panelach. Wśród nich znalazły się informacje o kontach afiliantów, przygotowanych atakach, negocjacjach i kluczach deszyfrujących. Takiego materiału nie da się szybko zastąpić nowym serwerem.

Przejęta strona wyciekowa przez kilka dni publikowała informacje o wnętrzu grupy. Zabieg miał prosty cel. LockBit sprzedawał afiliantom niezawodność i anonimowość, więc służby pokazały, że nie zapewnił ani jednego, ani drugiego. Później witrynę wyłączono.

Co było w środku

Pierwszy komunikat NCA mówił o tysiącu kluczy deszyfrujących. Po dalszej analizie liczba wzrosła do ponad 2,5 tysiąca. Europol przygotował około 3,5 tysiąca pakietów informacji o ofiarach, które można było przekazać właściwym służbom. Klucze nie były uniwersalnym lekarstwem. Trzeba było dopasować je do konkretnego zdarzenia, a samo odszyfrowanie plików nie cofało kradzieży danych ani przestoju firmy.

Służby zaczęły kontaktować się z rozpoznanymi organizacjami, także z takimi, które wcześniej nie zgłosiły ataku. To jedna z mniej efektownych części Cronos. Zamiast następnego komunikatu o zatrzymaniu była weryfikacja identyfikatorów, dopasowywanie materiału do spraw prowadzonych w różnych państwach i przekazywanie pomocy poszkodowanym. NCA kierowała brytyjskie ofiary do własnego zespołu, FBI uruchomiło osobny formularz, a pozostałe kraje korzystały między innymi z projektu No More Ransom.

Dane z platformy pozwoliły także policzyć afiliantów dokładniej niż na podstawie wpisów na stronie wyciekowej. NCA zidentyfikowała 194 konta korzystające z programu przed lutowym przejęciem. Spośród nich 148 przygotowało ataki, a 119 rozpoczęło negocjacje z ofiarami. Część nie dostała żadnej zapłaty. Według oceny agencji nawet 114 afiliantów mogło wydać pieniądze na udział w programie, spowodować szkody i nic na tym nie zarobić.

To dalekie od wizerunku sprawnej organizacji, który LockBit budował na forach. W środku widać dużą liczbę operatorów, z których wielu nie doprowadzało ataków do płatności. Ich metody też nie były jednolite. Europol później zwracał uwagę, że duża liczba niezależnych afiliantów powodowała znaczne różnice w sposobie działania poszczególnych ataków.

Materiały przejęte przez służby podważyły jeszcze jedną obietnicę. Według amerykańskiego aktu oskarżenia administrator zachowywał kopie danych niektórych ofiar, które zapłaciły okup, mimo zapewnień o ich usunięciu. NCA znalazła też przypadki, w których dostarczony po zapłacie program deszyfrujący nie działał, a ofiara nie otrzymała pomocy.

Grupa nie przestrzegała nawet własnych publicznych reguł. Po ataku na szpital dziecięcy w grudniu 2022 LockBit twierdził, że zablokował odpowiedzialnego afilianta. Analiza NCA wykazała, że konto pozostało aktywne aż do operacji Cronos. W tym czasie przygotowało 127 kolejnych ataków i rozpoczęło 50 negocjacji.

LockBitSupp dostaje nazwisko

W maju 2024 druga faza operacji uderzyła w osobę ukrywającą się pod pseudonimem LockBitSupp. Wielka Brytania, Stany Zjednoczone i Australia wskazały Dmitrija Jurjewicza Choroszewa, obywatela Rosji z Woroneża, jako administratora i dewelopera LockBit. Nałożono na niego sankcje finansowe oraz ograniczenia w podróżowaniu. Departament Stanu USA zaoferował do 10 milionów dolarów za informacje prowadzące do jego zatrzymania lub skazania.

Amerykańska prokuratura postawiła Choroszewowi 26 zarzutów. Akt oskarżenia opisuje go jako osobę, która od 2019 roku rozwijała ransomware, werbowała afiliantów i utrzymywała panel oraz stronę wyciekową. Prokuratorzy twierdzą, że z samego udziału administratora otrzymał co najmniej 100 milionów dolarów w kryptowalutach. Choroszew pozostawał poszukiwany. Zarzuty są twierdzeniami oskarżenia i nie zastępują wyroku sądu.

Pseudonim można porzucić. Sankcje i list gończy wiążą jednak sprawę z konkretną osobą, jej majątkiem oraz możliwością przekroczenia granicy. Administrator, który publicznie oferował nagrodę za poznanie swojej tożsamości, nie mógł już przekonywać afiliantów, że jego zaplecze jest poza zasięgiem śledczych.

Jesienią przyszła trzecia faza Cronos. 1 października 2024 Europol poinformował o czterech zatrzymaniach. We Francji zatrzymano podejrzanego dewelopera, w Wielkiej Brytanii dwie osoby podejrzane o wspieranie afilianta, a w Hiszpanii administratora hostingu odpornego na zgłoszenia. Hiszpańska policja zajęła również dziewięć serwerów związanych z infrastrukturą grupy. Sankcje objęły operatora powiązanego jednocześnie z LockBit i Evil Corp.

W grudniu amerykański Departament Sprawiedliwości ogłosił zatrzymanie w Izraelu Rostisława Panewa, podejrzanego o rozwijanie LockBit. Dokumenty sądowe opisywały regularne płatności, które miał otrzymywać od głównego administratora. Był to kolejny dowód, że Cronos nie skończył się wraz z lutową planszą na stronie w Torze.

W tym czasie dwaj wcześniej oskarżeni afilianci, Rusłan Astamirow i Michaił Wasiliew, przyznali się w USA do udziału w grupie. Same przyznania do winy nie rozstrzygają odpowiedzialności osób pozostających na wolności. Pokazują jednak, że materiał z operacji był łączony ze starszymi dochodzeniami, zatrzymaniami i dokumentami z konkretnych ataków. Cronos działał jako wspólny punkt dla wielu postępowań, nie jako jedna sprawa przeciwko jednej osobie.

Powrót po przejęciu

LockBit uruchomił nową stronę wyciekową i próbował wrócić do pracy. Sam fakt powrotu bywa przedstawiany jako dowód porażki służb. To za prosty test. Grupa ransomware może odtworzyć witrynę oraz serwery, jeśli część ludzi i pieniędzy pozostaje poza zasięgiem. Znacznie trudniej odzyskać utracone dane operacyjne i przekonać afiliantów, że kolejny panel nie jest obserwowany.

W maju 2024 NCA oceniała, że LockBit działa w ograniczonym zakresie. Liczba aktywnych afiliantów spadła do 69, a średnia miesięczna liczba ataków w Wielkiej Brytanii była o 73 procent niższa niż przed operacją. Agencja zauważyła też, że nowa strona publikowała stare ofiary i przypisywała sobie ataki wykonane innymi odmianami ransomware, aby wyglądać na bardziej aktywną. Sam licznik wpisów na witrynie przestał więc być wiarygodną miarą powrotu.

Te dane pochodzą od instytucji prowadzącej operację, więc nie są niezależnym audytem jej skuteczności. Mimo tego konkretny spadek liczby afiliantów, kolejne zatrzymania i zajęcia serwerów przeczą tezie, że nic się nie zmieniło. Bardziej uczciwy opis brzmi: LockBit przetrwał jako nazwa i szczątkowa usługa, ale stracił sporą część zdolności oraz reputacji.

Czego Cronos nie rozwiązał

Operacja zajęła platformę, lecz nie usunęła rynku, który ją zasilał. Afilianci potrafią zmienić program, szyld i dostawcę infrastruktury. Część z nich działała wcześniej dla innych grup. Gdy jedna usługa traci wiarygodność, operator może przejść do konkurencji albo pracować pod własną nazwą.

Nie zniknęli też pośrednicy sprzedający dostęp do cudzych sieci, dostawcy serwerów ignorujący skargi ani kantory pomagające ukrywać przepływ pieniędzy. LockBit łączył te elementy, ale nie był ich jedynym klientem. Zajęcie platformy zwiększyło koszt kolejnych operacji. Nie zamknęło całego łańcucha usług, z którego korzystają grupy ransomware.

Pozostał też problem jurysdykcji. Sankcje, akty oskarżenia i publiczne wskazanie podejrzanego ograniczają jego ruch oraz finanse, ale nie są aresztowaniem. Jeśli dana osoba znajduje się w państwie, które jej nie wyda, postępowanie może przez lata nie wejść na salę sądową.

Nie każda ofiara odzyskała dane. Klucze zdobyte przez śledczych pomagały tylko w określonych przypadkach. Organizacja po ataku nadal musiała sprawdzić systemy, odbudować infrastrukturę i ustalić zakres wycieku. Informacje już skopiowane przez przestępców mogły krążyć dalej, nawet jeśli zamknięto stronę służącą do ich publikacji.

Infrastruktura ransomware zostawia ślady użyteczne długo po samym ataku. Panel administracyjny okazał się archiwum relacji między rdzeniem grupy, afiliantami i ofiarami. Gdy przejęli go śledczy, dostali materiał do następnych spraw, sankcji i zatrzymań. Wynik operacji trzeba więc mierzyć miesiącami, a nie czasem, przez który na stronie LockBit wisiało logo NCA.

LockBit nie zniknął w lutym 2024. Zniknęła za to opowieść, że jego zaplecze jest nietykalne. Dla usługi opartej na cudzym zaufaniu była to strata, której nie dało się naprawić samym postawieniem nowej cebuli.

Źródła

Powiązane

← Archiwum