Underc0de

(https://i.postimg.cc/SxkJbSjg/leader-of-Lock-Bit-2.png) (https://postimages.org/)

La semana pasada, Estados Unidos se unió al Reino Unido y Australia para sancionar y acusar a un hombre ruso llamado Dmitry Yuryevich Khoroshev como líder del infame grupo de ransomware LockBit.

El líder de LockBit, "LockBitSupp", afirma que los federales nombraron al tipo equivocado, diciendo que los cargos no explican cómo lo conectaron con Khoroshev. Esta publicación examina las actividades de los numerosos alter egos de Khoroshev en los foros sobre delitos cibernéticos y rastrea la carrera de un talentoso autor de malware que ha escrito y vendido códigos maliciosos durante los últimos 14 años.

El 7 de mayo, el Departamento de Justicia de Estados Unidos acusó a Khoroshev de 26 cargos penales, entre ellos extorsión, fraude electrónico y conspiración. El gobierno alega que Khoroshev creó, vendió y utilizó la variedad de ransomware LockBit para extorsionar personalmente más de 100 millones de dólares a cientos de organizaciones víctimas, y que LockBit como grupo extorsionó aproximadamente 500 millones de dólares durante cuatro años.

Los investigadores federales dicen que Khoroshev ejecutó LockBit como una operación de "ransomware como servicio", en la que se quedaba con el 20 por ciento de cualquier monto de rescate pagado por una organización víctima infectada con su código, y el 80 por ciento restante del pago iba a los afiliados de LockBit. responsable de la propagación del malware.

Las sanciones financieras impuestas contra Khoroshev por el Departamento del Tesoro de Estados Unidos incluían su correo electrónico y dirección postal conocidos (en Voronezh, en el suroeste de Rusia), su número de pasaporte e incluso su número de identificación fiscal. La presentación del Tesoro dice que Khoroshev usó los correos electrónicos [email protected] y [email protected].

Según DomainTools.com, la dirección [email protected] se utilizó para registrar al menos seis dominios, incluida una empresa rusa registrada a nombre de Khoroshev llamada tkaner.com, que es un blog sobre ropa y telas.

Una búsqueda en el servicio de seguimiento de infracciones Constella Intelligence en el número de teléfono que figura en los registros de Tkaner (7.9521020220) arroja múltiples documentos oficiales del gobierno ruso que enumeran al propietario del número como Dmitri Yurievich Khoroshev.

Otro dominio registrado en ese número de teléfono fue stairwell[.]ru, que en un momento anunciaba la venta de escaleras de madera. Constella descubre que las direcciones de correo electrónico [email protected] y [email protected] utilizaron la contraseña 225948.

DomainTools informa que stairwell.ru durante varios años incluyó el nombre del registrante como "Dmitrij Ju Horoshev" y la dirección de correo electrónico [email protected]. Según Constella, esta dirección de correo electrónico se utilizó en 2010 para registrar una cuenta de Dmitry Yurievich Khoroshev de Voronezh, Rusia, en el proveedor de hosting firstvds.ru.

La firma de inteligencia cibernética Intel 471 descubre que [email protected] fue utilizado por un miembro de habla rusa llamado Pin en el foro de cibercrimen en inglés Opensc. Pin estuvo activo en Opensc alrededor de marzo de 2012 y fue autor de 13 publicaciones que en su mayoría se referían a problemas de cifrado de datos o cómo corregir errores en el código.

Otras publicaciones se referían al código personalizado que Pin afirmó haber escrito y que evitaría las protecciones de memoria en los sistemas Windows XP y Windows 7, e inyectaría malware en el espacio de memoria normalmente asignado a aplicaciones confiables en una máquina con Windows.

Pin también estuvo activo al mismo tiempo en el foro de seguridad en ruso Antichat, donde le dijeron a otros miembros del foro que se comunicaran con ellos al número de mensajería instantánea ICQ 669316.

NeroWolfe

Una búsqueda del número ICQ 669316 en Intel 471 muestra que, en abril de 2011, un usuario llamado NeroWolfe se unió al foro ruso sobre cibercrimen Zloy utilizando la dirección de correo electrónico [email protected] y desde una dirección de Internet en Voronezh, RU.

Constella descubre que la misma contraseña vinculada a [email protected] (225948) fue utilizada por la dirección de correo electrónico [email protected], que según Intel 471 estaba registrada en más de una docena de cuentas de NeroWolfe en otros tantos foros rusos sobre delitos cibernéticos entre 2011 y 2015.

La publicación introductoria de NeroWolfe en el foro Verified en octubre de 2011 decía que era administrador de sistemas y codificador de C++.

"Instalar SpyEYE, ZeuS, cualquier panel de administración de DDoS y spam", escribió NeroWolfe. Este usuario dijo que se especializa en desarrollar malware, crear gusanos informáticos y crear nuevas formas de secuestrar navegadores web.

"Puedo proporcionar mi portafolio si lo solicita", escribió NeroWolfe. "PD. No modifico el código de otra persona ni trabajo con los marcos de otra persona".

En abril de 2013, NeroWolfe escribió en un mensaje privado a otro usuario del foro Verified que estaba vendiendo un programa "cargador" de malware que podía eludir todas las protecciones de seguridad en Windows XP y Windows 7.

"El acceso a la red está ligeramente restringido", dijo NeroWolfe sobre el cargador, que estaba vendiendo por 5.000 dólares. "No lograrás vincular un puerto. Sin embargo, es muy posible enviar datos. El código está escrito en C."

En una discusión de octubre de 2013 en el foro sobre cibercrimen Exploit, NeroWolfe intervino sobre las ramificaciones kármicas del ransomware. En ese momento, el ransomware como servicio aún no existía, y muchos miembros de Exploit todavía estaban ganando mucho dinero con los "casilleros", programas relativamente toscos que bloqueaban al usuario fuera de su sistema hasta que aceptaban pagar (normalmente unos cientos de dólares mediante tarjetas prepagas Green Dot).

Los foros de ciberdelincuencia de habla rusa generalmente consideraban que los casilleros, que presagiaban el próximo flagelo del ransomware, eran oportunidades inofensivas para ganar dinero, porque generalmente no buscaban dañar la computadora host ni poner en peligro los archivos del sistema. Además, todavía había muchos programas de casilleros que los aspirantes a ciberdelincuentes podían comprar o alquilar para obtener un ingreso estable.

NeroWolfe recordó a los habitantes del foro que eran tan vulnerables a los ataques de ransomware como sus posibles víctimas.

"Chicos, ¿tienen conciencia?", escribió NeroWolfe. "Está bien, taquillas, red gopstop, también conocida como negocio en ruso. Lo último siempre era exprimido de los tontos. Pero nadie está protegido de los codificadores, ni siquiera la audiencia local".

Si a Khoroshev alguna vez le preocupó que alguien fuera de Rusia pudiera conectar sus primeros identificadores de hacker con su personaje de la vida real, eso no queda claro al revisar su historia en línea. De hecho, la misma dirección de correo electrónico vinculada a muchas de las cuentas de NeroWolfe en los foros ([email protected]) se utilizó en 2011 para crear una cuenta para Dmitry Yurevich Khoroshev en la red social rusa Vkontakte.

NeroWolfe parece haber abandonado todas sus cuentas del foro en algún momento de 2016. En noviembre de 2016, un miembro de exploit[.]ru presentó una queja oficial contra NeroWolfe, diciendo que a NeroWolfe le habían pagado 2.000 dólares para producir código personalizado, pero nunca terminó el proyecto y desapareció.

No está claro qué pasó con NeroWolfe o Khoroshev durante este tiempo. Quizás lo arrestaron, o lo hicieron algunos de sus colaboradores más cercanos. Quizás simplemente decidió que era hora de pasar desapercibido y reiniciar sus esfuerzos de seguridad operativa, dados sus fracasos pasados en este sentido. También es posible que NeroWolfe consiguiera un trabajo real en algún lugar durante unos años, tuviera un hijo y/o tuviera que suspender su carrera en el cibercrimen.

Putinkrab

O tal vez Khoroshev vio la próxima industria del ransomware como la interminable olla de oro en la que estaba a punto de convertirse, y luego se dedicó a trabajar en código de ransomware personalizado. Eso es lo que cree el gobierno.

La acusación contra Khoroshev dice que usó el apodo de hacker Putinkrab, e Intel 471 dice que esto corresponde a un nombre de usuario que se registró por primera vez en tres importantes foros rusos sobre cibercrimen a principios de 2019.

KrebsOnSecurity no pudo encontrar conexiones obvias entre Putinkrab y cualquiera de las identidades más antiguas de Khoroshev. Sin embargo, si Putinkrab fuera Khoroshev, habría aprendido de sus errores pasados y habría comenzado de nuevo con una nueva identidad (lo cual hizo). Pero también es probable que el gobierno no haya compartido toda la información de inteligencia que ha recopilado contra él (más sobre esto en un momento).

Las primeras publicaciones de Putinkrab en los foros rusos sobre cibercrimen XSS, Exploit y UFOLabs vieron a este usuario vendiendo código fuente de ransomware escrito en C.

(https://i.postimg.cc/jShQVYmy/putinkrab-ufo.png) (https://postimages.org/)

En abril de 2019, Putkinkrab ofreció un programa de afiliados que se ejecutaría sobre su código de ransomware personalizado.

"Quiero trabajar por una parte de los rescates: 20/80", escribió Putinkrab en Exploit. "El 20 por ciento es mi porcentaje por el trabajo, tú obtienes el 80 por ciento del rescate. El porcentaje se puede reducir hasta 10/90 si los volúmenes son buenos. Pero ahora, temporalmente, hasta que el servicio esté completamente automatizado, estamos trabajando usando un algoritmo diferente".

A lo largo del verano de 2019, Putinkrab publicó múltiples actualizaciones en Exploit sobre nuevas funciones agregadas a su variedad de ransomware, así como novedosas técnicas de evasión para evitar la detección por parte de herramientas de seguridad. También les dijo a los miembros del foro que estaba buscando inversores para un nuevo proyecto de ransomware basado en su código.

En respuesta a un miembro de Exploit que se quejó de que la industria de la seguridad estaba dificultando la obtención de beneficios con el ransomware, Putinkrab dijo que eso se debía a que muchos ciberdelincuentes dependían de códigos de ransomware de mala calidad.

"La gran mayoría de los mejores antivirus han adquirido análisis de comportamiento, que bloquean el 95% de los cripto-lockers desde su raíz", escribió Putinkrab. "Los criptolockers hicieron mucho ruido en la prensa, pero los administradores de sistemas perezosos no hacen copias de seguridad después de eso. La gran mayoría de los cryptolockers están escritos por personas que tienen pocos conocimientos de criptografía. Por lo tanto, aparecen en Internet descifradores y, con ellos, la esperanza de poder descifrar archivos sin pagar un rescate. Simplemente se sientan y esperan. El contacto con el propietario de la llave se pierde con el tiempo".

Putinkrab dijo que tenía plena confianza en que su código ransomware cambiaría las reglas del juego y sería una enorme máquina de hacer dinero.

"El juego está ganando impulso", escribió Putinkrab. "Los jugadores débiles pierden y son eliminados".

El resto de su respuesta estuvo estructurado como un poema:

    "En este mundo sobreviven los más fuertes.
    Nuestra vida es sólo una lucha.
    El ganador será el más inteligente,
    Que tiene la cabeza sobre los hombros".

La última publicación de Putinkrab se produjo el 23 de agosto de 2019. El Departamento de Justicia dice que el programa de afiliados del ransomware LockBit se lanzó oficialmente cinco meses después. A partir de ahí, dice el gobierno, Khoroshev adoptó la personalidad de LockBitSupp. En su publicación introductoria sobre Exploit, el cerebro de LockBit dijo que la cepa de ransomware había estado en desarrollo desde septiembre de 2019.

El malware LockBit original fue escrito en C (un lenguaje en el que sobresalía NeroWolfe). Aquí está la descripción original de LockBit, de su fabricante:

    "El software está escrito en C y Assembler; el cifrado se realiza a través del puerto de finalización de E/S; hay un puerto que escanea redes locales y una opción para encontrar todos los recursos compartidos de red DFS, SMB, WebDAV, un panel de administración en Tor, descifrado de prueba automático; se proporciona una herramienta de descifrado; hay un chat con notificaciones Push, un bot Jabber que reenvía correspondencia y una opción para finalizar servicios/procesos en línea que impiden que el ransomware abra archivos en un momento determinado. El ransomware establece permisos de archivos y elimina atributos de bloqueo, elimina instantáneas, borra registros y monta particiones ocultas; hay una opción para arrastrar y soltar archivos/carpetas y un modo de consola/oculto. El ransomware cifra los archivos por partes en varios lugares: cuanto mayor es el tamaño del archivo, más partes hay. Los algoritmos utilizados son AES + RSA.

    Usted es quien determina el monto del rescate después de comunicarse con la víctima. El rescate pagado en cualquier moneda que le convenga se transferirá a sus billeteras. El bot Jabber sirve como panel de administración y se utiliza para prohibir, proporcionar herramientas de descifrado y chatear; Jabber se utiliza para absolutamente todo".

Conclusión

¿La línea de tiempo anterior prueba que NeroWolfe/Khoroshev es LockBitSupp? No. Sin embargo, sí indica que Khoroshev estuvo durante muchos años profundamente involucrado en innumerables esquemas que involucraban botnets, datos robados y malware que él mismo escribió y que otros utilizaron con gran efecto. Los numerosos mensajes privados de NeroWolfe procedentes de otros miembros del foro lo confirman.

La especialidad de NeroWolfe era crear código personalizado que empleaba novedosas técnicas de sigilo y evasión, y siempre ofrecía sus servicios como voluntario en los foros cada vez que alguien buscaba ayuda en un proyecto de malware que requería un programador sólido en C o C++.

Alguien con esas calificaciones, además de un dominio demostrado de las técnicas de cifrado y descifrado de datos, habría tenido una gran demanda por parte de la industria del ransomware como servicio que despegó aproximadamente al mismo tiempo que NeroWolfe desapareció de los foros.

Alguien así, que está cerca o en la cima de su juego frente a sus pares, no se aleja simplemente de ese nivel de influencia, estatus comunitario y flujo potencial de ingresos a menos que se vea obligado a hacerlo por circunstancias más allá de su control inmediato.

Es importante señalar que Putinkrab no surgió de la nada en 2019, sino que de repente se le dotó de conocimientos sobre cómo escribir variedades de ransomware avanzadas y sigilosas. Ese conocimiento claramente provino de alguien que ya tenía años de experiencia en la creación e implementación de variedades de ransomware contra organizaciones víctimas de la vida real.

Por lo tanto, quienquiera que fuera Putinkrab antes de adoptar ese apodo, es seguro que estuvo involucrado en el desarrollo y uso de cepas de ransomware anteriores y de gran éxito. Un posible candidato fuerte es el ransomware Cerber, el programa de afiliados más popular y eficaz que funcionó entre principios de 2016 y mediados de 2017. Cerber prosperó porque surgió como uno de los primeros en el mercado de ofertas de ransomware como servicio.

En febrero de 2024, el FBI se apoderó de la infraestructura de cibercrimen de LockBit en la dark web, tras una aparentemente prolongada infiltración en las operaciones del grupo. Estados Unidos ya ha acusado y sancionado al menos a otros cinco presuntos cabecillas o afiliados de LockBit, por lo que presumiblemente los federales han podido obtener recursos adicionales de esas investigaciones.

Además, parece probable que las tres agencias de inteligencia nacionales involucradas en presentar estos cargos no estén mostrando todas sus cartas. Por ejemplo, los documentos del Tesoro sobre Khoroshev mencionan una única dirección de criptomoneda y, sin embargo, los expertos entrevistados para este artículo dicen que no hay pistas obvias que conecten esta dirección con Khoroshev o Putinkrab.

Pero dado que LockBitSupp ha estado involucrado activamente en ataques de ransomware Lockbit contra organizaciones durante cuatro años, es casi seguro que el gobierno tenga una lista extensa de las diversas direcciones de criptomonedas del líder de LockBit, y probablemente incluso de sus cuentas bancarias en Rusia. Y sin duda, el rastro del dinero de algunas de esas transacciones era rastreable hasta su beneficiario final (o lo suficientemente cercano).

No mucho después de que Khoroshev fuera acusado como líder de LockBit, varias cuentas de inteligencia de código abierto en Telegram comenzaron a ampliar la información publicada por el Departamento del Tesoro. En cuestión de horas, estos detectives habían desenterrado más de una docena de cuentas de tarjetas de crédito utilizadas por Khoroshev durante la última década, así como sus diversos números de cuentas bancarias en Rusia.

El punto es que esta publicación se basa en datos disponibles y verificables por KrebsOnSecurity. La fuente de Woodward & Bernstein en la investigación de Watergate, Garganta Profunda, dijo a los dos periodistas que "siguieran el dinero". Este es siempre un excelente consejo. Pero hoy en día, puede ser mucho más fácil decirlo que hacerlo, especialmente con personas que no desean ser encontradas y no presentan exactamente informes anuales.

Fuente:
KrebsOnSecurity
https://krebsonsecurity.com/2024/05/how-did-authorities-identify-the-alleged-lockbit-boss/

""DomainTools informa que stairwell.ru durante varios años incluyó el nombre del registrante como "Dmitrij Ju Horoshev" y la dirección de correo electrónico [email protected]. Según Constella, esta dirección de correo electrónico se utilizó en 2010 para registrar una cuenta de Dmitry Yurievich Khoroshev de Voronezh, Rusia, en el proveedor de hosting firstvds.ru ""

🤔🔍 ahi lo pescaron de lleno, al parecer se dedicaba al hacking como "sombrero negro" y nunca abandonaba los viejos emails... algo bastante poco inteligente 📚 interesante info 💫👋😌