LockBit 5.0 elenca Actua: leak dispersi e la fine dei takedown facili
LockBit è da anni il marchio più riconoscibile del ransomware: è sopravvissuto a un takedown internazionale coordinato nel 2024 e si è ricostruito sotto una numerazione di versioni che ora legge 5.0. Il suo ultimo listing mostra quanto poco abbia rallentato il playbook dell’estorsione. Secondo i risultati riportati da ZATAZ, l’equipaggio rivendica un breach di Actua, un gruppo francese di somministrazione di personale e lavoro temporaneo, e annuncia che inizierà a rilasciare i file rubati ai primi di settembre.
Il bottino minacciato è abbastanza specifico da pungere. La voce darkweb di LockBit descrive un set di documenti che comprende passaporti, diplomi, CV e attestati assicurativi riguardanti più di 100.000 persone reclutate. Actua non è un bersaglio di nicchia: il gruppo gestisce 37 agenzie, collabora con oltre 1.800 aziende partner e colloca circa 3.000 lavoratori temporanei ogni mese. Un’azienda di somministrazione è, per costruzione, un magazzino di esattamente la documentazione d’identità che gli equipaggi ransomware adorano sventolare.La rivendicazione contro ciò che chiunque può verificare
Ecco dove la cautela si ripaga. ZATAZ nota che nulla di ciò che LockBit ha pubblicato finora permette la verifica indipendente né del volume né del vettore di intrusione. La cifra di 100.000 persone arriva direttamente dagli attaccanti, e non ne segue che ogni persona citata compaia in ogni categoria di documenti. La rivendicazione non dice nulla su come gli intrusi sono entrati, quando hanno ottenuto l’accesso la prima volta o quanto sono rimasti. Rimane interamente possibile, come osserva ZATAZ, che i criminali non abbiano toccato altro che un singolo computer in una sede regionale. Quel divario tra numero da titolo e realtà dimostrabile non è una bizzarria di questo caso. I listing dei leak site sono documenti di marketing. I conteggi delle vittime si gonfiano, le categorie di documenti si fondono, e la formulazione più allarmante vince l’attenzione che l’archivio sottostante corrisponda o meno. La storia offre esempi a iosa in cui i megabyte rivendicati si sono ridotti drammaticamente una volta che i dump sono effettivamente atterrati. Finché non emergono file e qualcuno li conta, la descrizione onesta della rivendicazione su Actua è: non verificata, plausibile nella forma, non dimostrata nella scala. Actua, da parte sua, non ha risposto alle richieste di commento. Il silenzio è comune nei primi giorni di un listing, soprattutto mentre si districano gli obblighi francesi di notifica del breach. Ma lascia candidati e lavoratori temporanei in una posizione scomoda: la minaccia è pubblica, le prove no, e settembre è vicino.Dieci sedi di archiviazione alla volta
L’elemento davvero nuovo è tattico. Invece di promettere un singolo URL di dump, LockBit 5.0 annuncia l’intenzione di distribuire il leak su dieci diverse sedi di archiviazione simultaneamente. ZATAZ lo legge correttamente come una strategia di dispersione: moltiplicare i punti di disponibilità così che rimuoverne uno solo ottenga poco, e così che il takedown rapido diventi un esercizio di whack-a-mole tra giurisdizioni e provider. Il contesto rende la mossa leggibile. A febbraio 2024, l’operazione Cronos ha sequestrato l’infrastruttura di LockBit su decine di server, ha sostituito le pagine del leak site con striscioni delle forze dell’ordine e in generale ha umiliato il marchio (KrebsOnSecurity). L’operazione ha funzionato perché LockBit concentrava la sua pubblicazione su infrastruttura localizzabile e sequestrabile. I leak dispersi sono la risposta diretta a quella lezione: se il carico vive in dieci posti prima che qualcuno sappia dove, sequestrarne uno non cambia quasi nulla.Cosa significa dispersione per il tracking
Per chiunque segua la disponibilità dei leak site, conta più del numero delle vittime. Il vecchio modello presupponeva un chokepoint: buttare giù il blog dell’estorsione o il suo CDN, e la campagna di pressione si inceppa. La dispersione rimuove il chokepoint. L’uptime di un singolo endpoint smette di essere un segnale significativo, perché la campagna sopravvive alle interruzioni parziali by design. Il monitoraggio deve allargarsi da un singolo indirizzo onion a un insieme mutevole di mirror, bucket e host in stile paste, alcuni dei quali potrebbero non essere affatto onion service. Questo rispecchia un pattern da tempo familiare della storia dei darknet market, dove le liste di link ufficiali e i mirror ridondanti sono diventati equipaggiamento di sopravvivenza dopo sequestri ripetuti. Abbiamo coperto la meccanica di quella corsa agli armamenti nel nostro pezzo su perché i mirror appaiono offline, e le stesse dinamiche valgono qui: la ridondanza batte la rimozione a punto singolo, ma moltiplica anche le superfici dove si accumulano link stantii, copie impostore ed endpoint morti. Un leak disperso garantisce che alcune delle dieci sedi saranno false, rotte o trappole entro giorni.Leggere le prossime settimane
L’insegnamento pratico si divide in tre:- Per le persone tracciate, la postura sensata è precauzione senza panico: trattare la cifra di 100.000 come non confermata, vegliare sulla pubblicazione reale e presumere che ondate di phishing sfrutteranno i titoli indipendentemente dal fatto che documenti reali appaiano mai.
- Per i difensori, la lezione è che i primi di settembre sono una scadenza fissata dall’attaccante, e le scadenze slittano continuamente in questo genere; i countdown esistono per creare urgenza, non esattezza.
- Per analisti e monitor, dieci punti di drop simultanei significano che il tracking della disponibilità deve diventare consapevole della distribuzione, punteggiando le campagne per quante sedi vive restano piuttosto che per se un sito risolve.