LockBit

Source: National Cyber Security Centre (NCSC, Suisse) — Semi-Annual Report 2025/I (janvier–juin 2025). Le NCSC constate un volume d’incidents stabilisé à un niveau élevé (35 727 signalements, dont 58 % de fraude) et une situation globale relativement stable malgré l’innovation des attaquants. Les thèmes majeurs restent phishing, malware/ransomware, vulnérabilités, fraude et ingénierie sociale, DDoS hacktiviste, fuites/exfiltration et cyberespionnage. Depuis le 1er avril 2025, le signalement obligatoire pour les infrastructures critiques est en vigueur. ...

Source: Check Point Blog (Check Point Research), 23 octobre 2025. Contexte: après la disruption d’«Operation Cronos» début 2024, le groupe de ransomware LockBit réapparaît, relance son modèle RaaS et extorque déjà de nouvelles victimes. • Retour confirmé et nouvelles victimes 🚨: CPR indique que LockBit est de nouveau opérationnel et a ciblé une douzaine d’organisations en septembre 2025. Environ la moitié des cas impliquent la nouvelle variante LockBit 5.0 (« ChuongDong »), le reste étant attribué à LockBit Black. ...

Selon PolySwarm, cette analyse détaille l’évolution de LockBit 5.0, un rançongiciel plus sophistiqué et multi‑plateforme qui vise des environnements Windows, Linux et VMware ESXi avec des techniques avancées d’obfuscation et d’anti‑analyse. LockBit 5.0 présente une architecture cross‑plateforme permettant des attaques unifiées à l’échelle de l’entreprise. La variante ESXi est jugée particulièrement préoccupante car elle peut compromettre des infrastructures de virtualisation entières. Le code partage des similarités avec LockBit 4.0, confirmant une évolution itérative, et le malware intègre des « garde‑fous géopolitiques ». 🧬 ...

Source et contexte — L’Australian Institute of Criminology (AIC), dans sa série « Trends & issues in crime and criminal justice » n°719 (septembre 2025), publie une étude quantitative sur les groupes de rançongiciels visant des organisations en Australie, Canada, Nouvelle‑Zélande et Royaume‑Uni entre 2020 et 2022, à partir des données issues des sites d’extorsion suivis par Recorded Future et d’autres sources ouvertes (865 attaques au total). Les secteurs victimes ont été catégorisés via gpt‑3.5‑turbo (validation 89%). ...

Selon Flashpoint, en 2025, les groupes de Ransomware-as-a-Service (RaaS) reconfigurent le paysage des menaces, avec une hausse de 179% des attaques d’une année sur l’autre et un recul de groupes auparavant dominants comme LockBit et BlackCat. Points clés 🔎 RaaS en forte progression, redessinant la dynamique des menaces en 2025. +179% d’attaques d’une année sur l’autre, d’après le suivi de Flashpoint. Déclin des acteurs historiques LockBit et BlackCat. Enjeux et contexte ...

Selon canadianrecycler.ca (Toronto, Ontario), une attaque survenue le 6 août au soir a visé des entreprises utilisant le logiciel d’accès à distance SimpleHelp, touchant environ 300 recycleurs automobiles en Amérique du Nord, dont au moins quatre au Canada. • Type d’attaque: ransomware. Les victimes ont été verrouillées hors de leurs bases de données et ont reçu des notes de rançon exigeant un paiement pour restaurer l’accès. Parmi les entreprises nommées, Plazek Auto Recycling (près de Hamilton, Ontario) a découvert au matin des ordinateurs verrouillés et 30 copies identiques d’une note de rançon imprimées. L’entreprise n’a pas payé, s’appuyant sur des sauvegardes mises en place après un incident similaire en 2019, ce qui lui a permis de nettoyer le malware et de récupérer toutes ses données sauf quelques heures d’enregistrements. D’autres entreprises canadiennes citées incluent Millers Auto Recycling (Fort Erie, Ontario) et Marks Parts (Ottawa), qui ont également pu restaurer l’accès aux données. ...

Selon Unit 42, un acteur de menace, identifié comme Storm-2603, exploite des vulnérabilités SharePoint à travers un ensemble d’activités nommé CL-CRI-1040. Ce groupe utilise un outil de malware sophistiqué appelé Project AK47, démontrant une motivation financière. Le malware Project AK47 comprend plusieurs composants, notamment le cheval de Troie AK47C2 qui utilise les protocoles DNS et HTTP pour communiquer, ainsi que le rançongiciel AK47/X2ANYLOCK qui emploie le chiffrement AES/RSA et ajoute l’extension .x2anylock aux fichiers compromis. Le malware intègre des mécanismes de chargement de DLL et utilise une clé XOR codée en dur ‘VHBD@H’. ...

L’article publié par Trellix le 12 juin 2025 explore une fuite majeure du panneau d’administration de LockBit, un groupe de ransomware notoire. Le 7 mai 2025, un acteur anonyme a piraté le site TOR de LockBit, remplaçant son contenu par un message anti-crime et divulguant une base de données SQL de leur panneau d’administration. Cette fuite, vérifiée par le Trellix Advanced Research Center, offre un aperçu détaillé des méthodes opérationnelles des affiliés de LockBit, couvrant la génération de ransomware, les négociations avec les victimes et les configurations de build. La base de données contient des informations allant de décembre 2024 à avril 2025, incluant des détails sur les organisations victimes, les logs de chat de négociation, et les portefeuilles de cryptomonnaie. ...

L’article de SecurityAffairs rapporte que le groupe de ransomware LockBit a été compromis par des attaquants qui ont volé et divulgué des données de l’infrastructure backend de leur site sur le dark web. Le site a été défacé avec un message indiquant “Don’t do crime CRIME IS BAD xoxo from Prague”. BleepingComputer a analysé la base de données divulguée, révélant qu’elle contient 20 tables incluant des adresses BTC, des configurations de builds, 4 442 logs de discussions avec les victimes, et des données utilisateurs avec des mots de passe en clair. Les chercheurs ont noté que seuls 44 comptes utilisateurs sont associés à des builds d’encryptage, dont 30 étaient actifs au moment de la fuite. ...

Une vulnérabilité critique a été découverte dans l’instance PHPMyAdmin de Lockbit, exploitée par un acteur inconnu. Lockbit, un groupe notoire pour ses attaques de ransomware, utilisait une version de PHP vulnérable (8.1.2) identifiée par le CVE-2024-4577, permettant une exécution de code à distance (RCE). L’attaque a permis à l’acteur de dumper la base de données de Lockbit. Ces données incluaient des adresses bitcoin, des informations sur leur système de build, et des messages de négociation. Un point particulièrement critique est la découverte de noms d’utilisateur et mots de passe des agents de Lockbit, stockés sans chiffrement. ...