Les secrets du groupe LockBit mis au jour : adresses Bitcoin, tactiques internes et conversations volées après son piratage.
Le 7 mai 2025, un événement inattendu a émergé du darknet. Le groupe LockBit, figure emblématique des opérations de ransomware-as-a-service (RaaS), a été à son tour victime d’une cyberattaque d’envergure. Cette opération a abouti à la défacement de ses sites sur le dark web et à la fuite d’une base de données interne riche en informations sensibles.
Une brèche massive dans l’infrastructure de LockBit
Le piratage a mis au jour une base de données MySQL contenant une vingtaine de tables techniques et stratégiques. On y retrouve près de 60 000 adresses Bitcoin liées à des rançons, plus de 4 400 messages de négociation entre les victimes et les opérateurs du groupe, ainsi que des identifiants et mots de passe en clair de 75 affiliés, dont certains désarmants de simplicité.
Ce type de fuite permet une radiographie rare d’une organisation cybercriminelle. Parmi les données dévoilées figurent aussi les configurations d’attaques, les listes de serveurs à épargner et les cibles visées. Certains logs montrent même le chiffrage adapté aux types de fichiers, et les messages affichent des demandes de rançon allant de 50 000 à plus d’1,5 million de dollars selon la cible.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Des informations exploitables par les défenseurs
Pour les autorités et les chercheurs, cette fuite est un véritable filon. Les adresses de portefeuilles Bitcoin pourraient permettre de tracer les flux financiers, identifier les affiliés actifs ou encore remonter jusqu’aux commanditaires. Les logs de négociation permettent, eux, de mieux comprendre les stratégies de pression exercées sur les victimes.
Les données dévoilent également les vecteurs d’intrusion favoris de LockBit. Selon l’analyse du Qualys Threat Research Unit, 20 failles critiques sont régulièrement exploitées, notamment dans des technologies Citrix, Microsoft Exchange, Fortinet, VMware ou encore Log4j. La présence de configurations ciblant Veeam, FileZilla ou WinSCP souligne l’intérêt de LockBit pour les infrastructures de sauvegarde et de transfert.
Une revanche ou une opération de police ?
L’auteur du piratage reste inconnu, mais la signature humoristique « Don’t do crime CRIME IS BAD xoxo from Prague » rappelle celle d’une attaque contre le groupe Everest quelques semaines plus tôt. Plusieurs hypothèses circulent : rivalité entre groupes, acte de cyberactivisme, ou intervention masquée des forces de l’ordre.
Ce coup pour LockBit survient quelques mois seulement après l’opération Cronos, menée par Europol, qui avait saisi plus de 30 serveurs et identifié le leader présumé du groupe. Si LockBit avait alors rapidement rebondi, la déstabilisation actuelle paraît plus profonde.
Une opportunité pour les victimes et les défenseurs
Certaines victimes passées pourraient retrouver des clés de déchiffrement ou des informations leur permettant de restaurer leurs données. D’autres organisations peuvent exploiter ces révélations pour adapter leurs mesures de protection, en particulier en patchant les vulnérabilités exploitées par le gang.
Cette fuite de données offre un regard rare sur les pratiques internes d’un acteur de premier plan de la cybercriminalité. Il rappelle surtout que même les cybercriminels les plus aguerris peuvent, un jour, tomber dans leurs propres pièges.
Pour en savoir plus
Le gang de ransomware LockBit a été piraté, les négociations avec les victimes ont été révélées
Le gang de ransomware LockBit a subi une violation de données après que ses panneaux d’affiliation sur le dark web ont été défigurés et remplacés par un message renvoyant vers un vidage de base de données MySQL.
Le site du ransomware LockBit a été piraté, une fuite de base de données a été effectuée en ligne
Le groupe de rançongiciels Lockbit a été compromis. Des attaquants ont volé et divulgué des données contenues dans l’infrastructure back-end de leur site web clandestin. Les pirates ont compromis le site web clandestin du groupe de rançongiciels LockBit et l’ont défiguré, publiant…
LockBit piraté – 20 CVE critiques exploités par LockBit découverts
Le célèbre site web du gang de rançongiciels LockBit a été piraté. Le 7 mai 2025, les panneaux d’affiliation du groupe sur le dark web ont été dégradés avec le message « Ne commettez pas de crime ! LE CRIME EST MAUVAIS ! Bisous de Prague ! » accompagné d’un lien vers une base de données MySQL…
(Re)découvrez également:
Voici les charges retenues contre le développeur présumé du ransomware LockBit
Rostislav Panev, arrêté en Israël, est accusé d’avoir développé le ransomware LockBit, causant des milliards de dollars de dommages.
Un Russe identifié comme le boss de Lockbit
Les États-Unis, le Royaume-Uni et l’Australie ont identifié le Russe Dmitry Khoroshev comme le leader du ransomware LockBit, accusé d’extorsions massives totalisant 500 millions de dollars.
Qui est LockBit cet acteur majeur de la menace des ransomwares ?
Plongez dans les détails fournis par l’agence CISA pour mieux comprendre le ransomware LockBit qui a dominé le paysage des cyberattaques en 2022 et continue de menacer les organisations du monde entier aujourd’hui
Cette veille vous a été utile ?
Un café = un mois de serveur. Aidez DCOD à rester gratuit et indépendant.
