免责声明：金色财经所有资讯仅代表作者个人观点，不构成任何投资理财建议。请确保访问网址为（jinse.cn）举报

Chainalysis：美英协作瓦解勒索软件Lockbit

金色财经

刚刚

来源：Chainalysis；编译：邓通，金色财经

2024 年 2 月 20 日，英国国家犯罪局 (NCA) 与美国司法部 (DOJ) 联合宣布，成功瓦解了近年来臭名昭著的勒索软件即服务 (RaaS) 组织 Lockbit。此次行动中，NCA、FBI 和国际执法合作伙伴通力合作，查获了 Lockbit 运营的重要服务器和公共网站，并获得了解密密钥，使 Lockbit 受害者无需支付赎金即可恢复数据。

此外，美国司法部还对两名俄罗斯公民 Artur Sungatov 和 Ivan Kondratyev 提出指控，他们涉嫌作为 Lockbit RaaS 的分支机构成员，使用该勒索软件进行攻击。美国财政部海外资产管制办公室 (OFAC) 也对这两名个人及其勒索软件活动实施了制裁，并将其十个加密货币地址列入 SDN 制裁名单。这一行动是继 2023 年 5 月对 Lockbit 关联的勒索软件开发人员 Mikhail Matveev 提起诉讼并实施制裁后的又一重大举措。

下面，我们将进一步讨论 Lockbit 在勒索软件生态系统中的独特地位以及此次行动的重要性。

Lockbit 是最广泛使用的 RaaS 勒索软件之一

据 DOJ 称，Lockbit 攻击了 2,000 多名受害者，并赚取了超过 1.2 亿美元。 我们的数据显示，Lockbit 在勒索软件生态系统中的重要性随着时间的推移而迅速增长。

此外，自 RaaS 推出以来，Lockbit 是勒索软件生态系统中最具活跃度的病毒之一，并且比大多数其他病毒株保持活跃的时间更长。

Lockbit 是一种 RaaS 勒索软件，其他网络犯罪分子（称为分支机构）可以租用该软件发动自己的勒索软件攻击，并从中获取部分收益。我们的数据表明，Lockbit 是历史上最活跃和使用最广泛的 RaaS 勒索软件之一，拥有数百个分支机构，其中许多分支机构还与其他知名勒索软件组织有关联。

Lockbit 愿意向如此多的分支机构提供服务，可能是研究人员观察到的该组织内部混乱的原因之一。例如，即使核心管理层承诺停止攻击医疗机构，Lockbit 仍继续针对医院发动攻击；此外，还发生过 Lockbit 管理员公开拒绝向分支机构支付攻击费用的事件。这些事件以及看似缺乏协调能力，可能是由于缺乏对分支机构的审查造成的。

Lockbit 管理员有时会采取一些宣传噱头，但其价值与对组织运营安全构成威胁的风险相比似乎微不足道。例如，2022 年，一位名为 LockBitSupp 的 Lockbit 管理员在线宣布，他们将向任何纹身 Lockbit 标志的人支付 1,000 美元。对 LockBitSupp 此时段链上活动的分析令人惊讶地表明，许多人接受了他们的提议。我们可以在下方的 Chainalysis Reactor 图表中看到其中一些付款信息。

可以这么说，像这样的管理员行为以及看似较低的会员访问 Lockbit 的门槛并没有将该组织描绘成勒索软件生态系统中最专业的组织。

Lockbit 和制裁风险

即使在最近针对 Lockbit 分支机构的制裁之前，该组织低廉的进入门槛使其 RaaS 模型成为威胁行为者混淆其制裁联系的诱人掩护工具。例如，2022 年 6 月，网络安全公司 Mandiant 发布了一份研究报告，表明俄罗斯勒索软件团伙 Evil Corp 开始使用 Lockbit。Mandiant 认为此举可能是 Evil Corp 为掩饰自己而采取的策略，因为当时 Evil Corp 与被制裁的俄罗斯实体的关联导致受害者支付赎金的意愿下降。链上数据证实了 Lockbit 和 Evil Corp 之间的联系，如下面的 Reactor 图表所示。