LockBit 5.0 listet Actua: Verteilte Leaks und das Ende der leichten Takedowns
LockBit ist seit Jahren die wiedererkennbarste Marke der Ransomware-Szene, überlebte eine koordinierte internationale Takedown-Aktion 2024 und baute sich unter einer Versionsnummerierung wieder auf, die inzwischen 5.0 liest. Das jüngste Listing zeigt, wie wenig das Erpressungs-Playbook an Tempo verloren hat. Laut Erkenntnissen, über die ZATAZ berichtet, meldet die Crew einen Breach von Actua, einer französischen Personalvermittlungs- und Zeitarbeitsgruppe, und kündigt an, gestohlene Dateien ab Anfang September zu veröffentlichen.
Die angedrohte Beute ist konkret genug, um zu schmerzen. LockBits Darkweb-Eintrag beschreibt einen Satz Dokumente mit Pässen, Diplomen, Lebensläufen und Versicherungsbescheinigungen zu mehr als 100.000 vermittelten Personen. Actua ist kein Boutique-Ziel: Die Gruppe betreibt 37 Agenturen, arbeitet mit über 1.800 Partnerunternehmen und vermittelt rund 3.000 Zeitarbeitskräfte pro Monat. Eine Personalvermittlung ist von Berufs wegen ein Lagerhaus genau der Identitätspapiere, mit denen Ransomware-Crews gern wedeln.Die Behauptung gegen das, was jeder prüfen kann
Hier ist der Punkt, an dem Vorsicht sich bezahlt macht. ZATAZ stellt fest, dass nichts, was LockBit bisher veröffentlicht hat, eine unabhängige Prüfung weder des Umfangs noch des Intrusionsvektors erlaubt. Die Zahl von 100.000 Menschen kommt direkt von den Angreifern, und es folgt nicht, dass jede genannte Person in jeder Dokumentenkategorie auftaucht. Die Behauptung sagt nichts darüber, wie Eindringlinge hereinkamen, wann sie erstmals Zugang bekamen oder wie lange sie sich dort aufhielten. Es bleibt völlig möglich, wie ZATAZ anmerkt, dass die Kriminellen nicht mehr berührten als einen einzelnen Rechner in einer regionalen Niederlassung. Diese Lücke zwischen Schlagzeilenzahl und belegbarer Realität ist keine Marotte dieses Falls. Leak-Site-Listings sind Marketingdokumente. Opferzahlen blähen sich auf, Dokumentenkategorien verschwimmen, und die alarmierendste Formulierung gewinnt die Aufmerksamkeit, ob das zugrunde liegende Archiv passt oder nicht. Die Geschichte liefert reichlich Beispiele, in denen behauptete Megabytes dramatisch schrumpften, sobald die Dumps tatsächlich landeten. Bis Dateien auftauchen und jemand sie zählt, ist die ehrliche Beschreibung der Actua-Behauptung: unbestätigt, der Form nach plausibel, im Ausmaß unbewiesen. Actua seinerseits reagierte nicht auf Kommentar-Anfragen. Schweigen ist in den ersten Tagen eines Listings üblich, zumal während die französischen Datenschutzpflichten rund um die Breach-Meldung geklärt werden. Aber es lässt Kandidaten und Zeitarbeitskräfte in einer unbequemen Lage: Die Bedrohung ist öffentlich, die Beweise nicht, und der September ist nah.Zehn Speicherorte auf einmal
Das wirklich Neue ist taktisch. Statt eine einzige Dump-URL zu versprechen, kündigt LockBit 5.0 die Absicht an, den Leak gleichzeitig über zehn verschiedene Speicherorte zu verteilen. ZATAZ liest das zutreffend als Zerstreuungsstrategie: Die Verfügbarkeitspunkte werden vervielfacht, sodass das Entfernen eines einzelnen wenig bringt und schnelles Takedown zu einer Whack-a-Mole-Übung über Rechtsräume und Anbieter hinweg wird. Der Kontext macht den Zug lesbar. Im Februar 2024 beschlagnahmte die Operation Cronos LockBit-Infrastruktur über Dutzende Server, ersetzte Leak-Site-Seiten durch Banner der Strafverfolgung und demütigte die Marke insgesamt (KrebsOnSecurity). Die Operation funktionierte, weil LockBit seine Veröffentlichung auf Infrastruktur konzentrierte, die man lokalisieren und nehmen konnte. Zerstreute Leaks sind die direkte Antwort auf diese Lektion: Lebt die Fracht an zehn Orten, bevor irgendjemand weiß wo, ändert die Beschlagnahme eines davon fast nichts.Was Zerstreuung für das Tracking bedeutet
Für alle, die die Verfügbarkeit von Leak-Sites verfolgen, zählt das mehr als die Opferzahl. Das alte Modell nahm einen Chokepoint an: Takedown des Erpressungsblogs oder seines CDN, und die Druckkampagne stockt. Zerstreuung entfernt den Chokepoint. Die Uptime eines einzelnen Endpunkts hört auf, ein aussagekräftiges Signal zu sein, weil die Kampagne partielle Ausfälle per Design übersteht. Monitoring muss sich von einer Onion-Adresse zu einem wechselnden Satz aus Mirrors, Buckets und Paste-artigen Hosts weiten, von denen manche vielleicht gar keine Onion-Services sind. Das spiegelt ein Muster, das aus der Darknet-Markt-Geschichte längst vertraut ist, wo offizielle Link-Listen und redundante Mirrors nach wiederholten Beschlagnahmen zur Survival-Ausrüstung wurden. Die Mechanik dieses Wettrüstens haben wir in unserem Stück zu warum Mirrors offline zeigen behandelt, und dieselben Dynamiken greifen hier: Redundanz schlägt Einpunkt-Entfernung, aber sie vervielfacht auch die Flächen, auf denen sich tote Links, Fälschungen und tote Endpunkte ansammeln. Ein zerstreuter Leak garantiert, dass einige der zehn Orte innerhalb von Tagen gefälscht, kaputt oder mit Fallen versehen sein werden.Was die nächsten Wochen bringen
Die praktische Lehre verzweigt sich in drei Richtungen:- Für Betroffene ist die sinnvolle Haltung Vorsicht ohne Panik: Die Zahl von 100.000 als unbestätigt behandeln, auf die tatsächliche Veröffentlichung achten und davon ausgehen, dass Phishing-Wellen die Schlagzeilen ausbeuten, egal ob echte Dokumente je auftauchen.
- Für Verteidiger lautet die Lektion: Anfang September ist eine Frist, die der Angreifer setzt, und Fristen rutschen in diesem Genre ständig; Countdowns existieren, um Dringlichkeit zu erzeugen, nicht Genauigkeit.
- Für Analytiker und Beobachter bedeutet zehn gleichzeitige Drop-Punkte, dass Verfügbarkeits-Tracking verteilungsbewusst werden muss: Kampagnen danach bewerten, wie viele lebende Orte bleiben, nicht danach, ob eine Site auflöst.