الفيدراليون يخترقون LockBit، وLockBit يعود من جديد. ماذا الآن؟

بعد أيام كان بعد انقطاعها عن الاتصال بالإنترنت من خلال عملية شاملة لإنفاذ القانون استمرت لسنوات، عادت مجموعة LockBit سيئة السمعة لبرامج الفدية، ومقرها روسيا، إلى شبكة الإنترنت المظلمة من خلال موقع تسرب جديد مكتمل بعدد من الضحايا الجدد.

وفي بيان مطول ومتشعب نُشر يوم السبت، ألقى مسؤول LockBit المتبقي باللوم على إهماله في التعطيل الذي حدث الأسبوع الماضي. أطلقت جهود إنفاذ القانون العالمية عملية اختطفت البنية التحتية لعصابة برامج الفدية من خلال استغلال ثغرة أمنية في مواقع LockBit العامة، بما في ذلك موقع تسرب الويب المظلم الذي استخدمته العصابة لنشر البيانات المسروقة من الضحايا.

وشهدت “عملية كرونوس”، كما أطلق عليها الفيدراليون، إزالة 34 خادمًا في جميع أنحاء أوروبا والمملكة المتحدة والولايات المتحدة، والاستيلاء على أكثر من 200 محفظة عملات مشفرة، واعتقال اثنين من أعضاء LockBit المزعومين في بولندا وأوكرانيا.

وبعد خمسة أيام فقط، أعلنت LockBit أن عملياتها قد استؤنفت، مدعية أنها استعادت النسخ الاحتياطية التي لم تتأثر بالإزالة الحكومية. وفي بيانه، هدد مدير LockBit بالانتقام بالقول إنه سيستهدف القطاع الحكومي.

صرح متحدث باسم الوكالة الوطنية لمكافحة الجريمة، التي قادت عملية كرونوس، لـ TechCrunch يوم الاثنين بعد عودة LockBit أن عملية الإزالة “نجحت في التسلل والسيطرة على أنظمة LockBit، وتمكنت من تعريض عمليتهم الإجرامية بأكملها للخطر”.

وقالت NCA: “لقد تم تدمير أنظمتهم الآن من قبل NCA، وتقييمنا هو أن LockBit لا يزال معرضًا للخطر تمامًا”.

إن ادعاء تطبيق القانون بانتصار ساحق بينما لا يزال زعيم عصابة LockBit طليقًا، ويهدد بالانتقام، ويستهدف ضحايا جدد، مما يضع الاثنين على خلاف – في الوقت الحالي. مع وقوع أكثر من اثنتي عشرة ضحية جديدة منذ إعادة إطلاقها، ربما كان موت LockBit مبالغًا فيه.

مع استمرار لعبة القط والفأر بين الفيدراليين والمجرمين، تتواصل أيضًا المحادثات القتالية – والادعاءات الجريئة من كلا الجانبين.

في حين وعدت NCA بالكشف الكبير عن زعيم العصابة منذ فترة طويلة، والذي يحمل اسم “LockBitSupp”، لم تكشف الوكالة سوى القليل عن المسؤول في منشور على موقع تسرب الويب المظلم الخاص بـ LockBit يوم الجمعة.

“نحن نعرف من هو. نحن نعرف أين يعيش. نحن نعرف كم يستحق. لقد تعاونت شركة LockBitSupp مع سلطات إنفاذ القانون :)”، كما جاء في رسالة NCA ذات الصياغة الغامضة.

وعرضت وكالات إنفاذ القانون الأمريكية أيضًا مكافأة بملايين الدولارات للحصول على تفاصيل “تؤدي إلى تحديد هوية أو موقع أي فرد (أفراد) يشغل منصبًا قياديًا رئيسيًا” في عصابة LockBit – مما يشير إلى أن السلطات إما لا تملك هذه المعلومات. أو لا يمكن إثبات ذلك بعد.

مع استمرار عمل المسؤول الظاهري LockBitSupp – آخر قطعة متبقية من أحجية LockBit – فمن غير المرجح أن يختفي LockBit. من المعروف أن عصابات برامج الفدية تعيد تجميع صفوفها وتعيد تصنيفها بسرعة حتى بعد ادعاءات تعطيل تطبيق القانون بإزالتها إلى الأبد.

لنأخذ على سبيل المثال عصابة أخرى لبرامج الفدية مقرها روسيا: ALPHV، المعروفة أيضًا باسم BlackCat، تعرضت العام الماضي لضربة مماثلة عندما استولت وكالات إنفاذ القانون على موقع تسرب الويب المظلم الخاص بها وأصدرت مفاتيح فك التشفير حتى يتمكن الضحايا من استعادة الوصول إلى الملفات المسروقة. وبعد أيام فقط، أعلنت ALPHV أنها “قامت بإلغاء الاستيلاء” على موقع التسريب الخاص بها، وادعت أن مكتب التحقيقات الفيدرالي لم يكن لديه سوى مفاتيح فك التشفير لـ 400 شركة أو نحو ذلك – مما ترك أكثر من 3000 ضحية تظل بياناتهم مشفرة.

في وقت كتابة هذا التقرير، كان موقع التسريب الخاص بـ ALPHV لا يزال قيد التشغيل – ويستمر في إضافة ضحايا جدد يوميًا تقريبًا.

وقد واجهت عصابات برامج الفدية الأخرى، مثل Hive وConti، إجراءات مماثلة لإنفاذ القانون في السنوات الأخيرة، ولكن يقال إنها ببساطة أعادت تصنيفها وإصلاحها تحت أسماء مختلفة. ويقال إن أعضاء Conti يعملون ضمن مجموعات Black Basta وBlackByte وKarakurt الجديدة، في حين أعيد تسمية أعضاء Hive السابقين إلى عملية فدية جديدة أطلق عليها اسم Hunters International.

من غير المرجح أن تكون عملية إزالة LockBit مختلفة كثيرًا، على الرغم من أن الكثيرين أشادوا بها باعتبارها واحدة من أهم العمليات في السنوات الأخيرة، والعلامات موجودة بالفعل.

في منشورها الطويل، ادعت شركة LockBit أن سلطات إنفاذ القانون لم تحصل إلا على عدد قليل من برامج فك التشفير، واعتقلت الأشخاص الخطأ، وفشلت في إزالة جميع مواقع الويب الخاضعة لسيطرتها. وتعهدت شركة LockBit أيضًا أنه في ضوء العملية، ستقوم بترقية أمان بنيتها التحتية، وإطلاق برامج فك التشفير يدويًا، ومواصلة برنامجها التابع.

“لا يمكن لمكتب التحقيقات الفيدرالي (FBI) ومساعديه أن يخيفوني ويوقفوني، فاستقرار الخدمة مضمون من خلال سنوات من العمل المستمر”، تابع صراخ LockBit. “إنهم يريدون إخافتي لأنهم لا يستطيعون العثور علي والقضاء علي، ولا يمكن إيقافي”.

أخبرت NCA موقع TechCrunch أن الوكالة “أدركت أن LockBit ستحاول على الأرجح إعادة تجميع أنظمتها وإعادة بنائها” لكنها أقرت بأن عمل الوكالة مستمر في تعطيل المجموعة.

وقال ريتشارد كرو، المتحدث باسم الوكالة الوطنية لمكافحة الجريمة: “لقد جمعنا قدرًا هائلاً من المعلومات الاستخباراتية عنهم وعن الأشخاص المرتبطين بهم، وما زال عملنا لاستهدافهم وتعطيلهم مستمرًا”.

إن اعتراف سلطات إنفاذ القانون بأنها لا تزال تعمل على تعطيل العصابة يخبرنا بكل ما نحتاج إلى معرفته: إن LockBit لم يمت بعد، ومن المحتمل أنه لم يمت أبدًا.