专栏名称: 苏俄转播

另一面和灰烬的趣味

被悬赏1000万美元的俄国黑客

苏俄转播 · 公众号 · · 2024-05-11 17:48

正文

一、天价勒索

2024年5月7日，英国外交和联邦事务部（FCDO）、美国财政部外国资产控制办公室（OFAC）和澳大利亚外交部共同宣布了对 LockBit 勒索软件组织的管理者和开发者、俄罗斯人德米特里·霍罗舍夫（Dmitry Khoroshev）的制裁。

随后，美国 FB I 发布了一条1000万美元的悬赏令，奖励任何提供线索能将他逮捕或定罪的人。

Khoroshev 在黑客世界更为出名的名字叫 LockBitSupp，他本人目前已被指控犯有26项刑事罪，包括敲诈勒索和黑客攻击。这些罪名加在一起，最高可判处185年监禁。

LockBit 是有史以来最高产的勒索软件组织之一（2019年开始行动），已通过数字货币方式向全球受害者（主要是大公司）勒索了超过1亿美元。

美国司法部起诉书称，LockBit 曾向位于弗吉尼亚州的一家航空和国防公司索要2亿美元。

围攻 LockBit 的计划名为“Operation Cronos”，已经开展了多年，欧美各国都有参与，这次发布的另一个“战果”，是英美当局确认了 Khoroshev 的真实身份。不仅公布了他的名字，还公布了上面的两张照片。

疑问仍然存在。这名短发、二头肌发达，对着镜头羞涩微笑的年轻俄罗斯人，就是那个臭名昭著的黑客组织的幕后大佬吗？

躲在网络背后的 LockBitSupp 好像并不这么认为。

LockbitSupp 很快就在加密通信软件 Tox 上发布了消息，说执法部门找错了人。

他写道： “FBI 在虚张声势，我不是 Dmitry，我为真正的 Dmitry 感到遗憾。他会因为我的罪行而被整死的。”

5月10日，LockbitSupp 还用俄语接受了 The Chord Media 旗下的播客节目“Click Here”的专访，从头到尾否定了对于他身份的指控。

当主持人问他还有什么想说的，他一边讽刺 FBI，一边向全世界喊话： “加入我的联盟，和我一起致富。”

二、嚣张恶人

LockbitSupp 控制的黑客网络，并不是松散的网络社群，而是更接近一个有组织网络犯罪团伙。他手底下有各种分支机构作为犯罪合伙人，他则是幕后控制网络和实施的大佬。

大佬密切跟踪其分支机构，保存每个机构及其针对的受害者的数据库。英国打击犯罪调查局（NCA）的一份起诉书称： “在某些情况下，Khoroshev 要求他的同谋提供身份证明文件，而他会在自己的本地存储设备上保存这些文件。”

Jon DiMaggio 是网络安全公司 Analyst1 的研究员，他花了数年时间研究 LockBit 并与 LockBitSupp 进行过交流。

Jon DiMaggio 说：“他将其视为一项事业，并经常向其分支网络寻求反馈，了解如何使犯罪行动更加有效。”

“他不仅仅为自己谋取金钱，还将其重新投资于发展自己的业务，并使其更受犯罪分子的青睐。”

这也反映在 LockBit 组织的整个生命周期中，他们自身的迭代更新，确实领先于执法部门和安全公司。

DiMaggio 表示，与他私下交谈的那个使用 LockBitSupp 账号的人“傲慢”，但“一切都是公事公办，而且非常严肃”。其他黑客在俄语网络犯罪论坛上交换数据并讨论黑客圈子的事儿，LockBitSupp 则完全不同。

“他在俄罗斯黑客论坛上放大的角色，是个超级反派和《疤面煞星》中托尼·蒙塔纳的混合体。他炫耀自己的成功和金钱，这有时会惹恼人们。”

“他拥有几家合法企业，总部在俄罗斯的沃罗涅日，开着一辆奔驰，之前还拥有一辆马自达6，而不是他经常吹嘘的兰博基尼。”

“LockBitSupp 有很多敌人，还有很多想取而代之的人。那个团伙不太可能停止行动，尽管继续下去会更困难。”

“当没人知道你是谁时，做坏人就容易多了。现在他的声誉受到打击，想恢复就很难了。”

三、深挖过去

开源情报调查（Open Source Intelligence，简称OSINT）是当下非常流行的新闻调研方式。下面的调查汇总，参考了公众号“开源情报俱乐部”的报道，和安全实验室 Predicta Lab 的内容。

2024年2月20日，FBI 和 NCA 公布的一份制裁名单中提到了一个人名，Ivan Gennadievich Kondratyev（又名“Basserlord”）。这个名字同时还出现在美国 OFAC 的制裁名单中。

Bassterlord 是勒索软件的分支机构，他管理着自己的团队。本来，他还是个新人。但随着时间的推移，他现在上升到了团队的领导者。
Bassterlord 与至少四个勒索软件团伙合作：REvil、RansomEXX、Avadon 和 LockBit。
Bassterlord 是一名白人男性，年龄约27岁，出生、长大并居住在乌克兰卢甘斯克。他以“Fisheye”、“Busterlord”、“Buster”和“National Hazard Agency”等绰号在俄罗斯地下论坛上开展活动。

通过在 Predictasearch 搜索电子邮件 [email protected] 作为线索，得到他在俄语社交网站的众多信息。一个90后勒索软件黑客的真实身份，出现了。

在出现的结果页面的数据泄露选项卡里，从而可以看到他的电子邮件关联了Twitter 账号“It9111”。

这个电子邮件地址，同时也出现在 000webhost 泄漏数据库中（ 2015年，免费Web托管公司000Webhost被黑客攻击,泄露了1350万用户信息），通过 000webhost 数据库中的地址，找到了乌克兰卢甘斯克州布里安卡的位置信息。

此外，在俄语社交平台 Odnoklassniki 上，有一个与此电子邮件匹配的个人页面资料。并且提供了一个新的用户名“Koyerd Uhvwi”，里面有毕业院校、生日、居住地信息。

通过对新用户名的追踪，又发现一位与 Koyerd Uhvwi 同名的用户，在图拉州城市 Новомосковск 的一家牙科诊所的页面上写了个5分点评。

接着，根据 Koyerd Uhvwi 在数据库里泄露的家庭住址，与牙医诊所的地址对比。发现两者之间只需要步行12分钟。进一步丰富了关于他的个人信息。

在更多的社交媒体中，Koyerd Uhvwi 这个名字在 YouTube 还创建了一个频道。他发过一个视频，标题为《看看谁有漂亮的新 Lockbit 纹身》，看来当时已经开始加入组织干活了。目前该账号及视频已被封。

一位 Twitter 热心用户在 VK.watch 上面发现了他在 VK 的早期个人资料，提供了很多信息：真实名字、出生日期与之前在泄密数据库中发现的相同。再次锁定。

这一时期，他还挺寂寞的。在俄语交友平台 Za30（主打中青年交友）注册，并在个人主页上提供了详细的个人信息介绍。个人生活习惯、体型样貌、收入水平，都公布了出来。

最后感慨两句。

网络世界的水越来越深，信息差越严重。一方面是信息茧房的束缚，另一方面是信息安全的隐患。个人用户身处其中，确实太弱势。哪怕是黑客界的小头目，都能在开源调查下现出真身，普通人就更别提了，毫无隐私可言。

但从另一个角度想（对新闻调查和数据挖掘感兴趣的角度），开源调查确实充满乐趣，在茫茫信息海洋里捞到针的那种快乐。

文字：吴鞑靼

被悬赏1000万美元的俄国黑客

正文

请到「今天看啥」查看全文