LockBit 5.0 将 Actua 列入名单:分散式泄露与轻松 takedown 时代的终结
多年来LockBit一直是勒索软件最醒目的品牌:挺过了2024年一场协调一致的国际 takedown,又在如今读到5.0的版本号体系下重建。它的最新挂牌表明,勒索剧本几乎没有减速。据ZATAZ报道的发现,该团伙声称入侵了法国人力派遣与临时用工集团Actua,并说将于9月初开始释放窃取的文件。
被威胁的赃物具体到刺痛人。LockBit的darkweb条目描述了一组文件,包括涉及超过100,000名被招募者的护照、文凭、简历和保险证明。Actua并非小众目标:该集团运营37家门店,与超过1,800家合作伙伴公司合作,每月安置约3,000名临时工。人力派遣公司按其设计,就是勒索团伙最爱挥舞的那类身份证件仓库。宣称与任何人都能核实的内容之间
谨慎在这里体现价值。ZATAZ指出,LockBit迄今发布的任何内容,都既无法独立核实数据量,也无法核实入侵载体。10万人的数字直接来自攻击者,由此推不出每个被点名的人都出现在每类文件中。该宣称没有说明入侵者如何进来、何时首次获得访问、逗留多久。正如ZATAZ所观察到的,完全有可能这些罪犯只碰过某地区办事处里的一台电脑。 标题数字与可证现实之间的这道鸿沟并非本案的怪癖。leak-site挂牌是营销文件。受害者计数会膨胀,文件类别会糊成一团,最耸动的措辞无论底下的压缩包对不对得上都能赢得注意力。历史上不乏例子:宣称的兆字节数在dump真正落地后急剧缩水。在文件浮出水面且有人清点之前,对Actua宣称的诚实描述是:未经验证,形似合理,规模未证。 Actua方面没有回应置评请求。挂牌初期保持沉默很常见,尤其当法国的数据泄露通报义务还在理顺时。但这让求职者和临时工处境尴尬:威胁是公开的,证据不是,而九月近在眼前。十个存储位置同时进行
真正新的元素是战术性的。LockBit 5.0不再承诺单一dump URL,而是宣布打算把泄漏同时分散到十个不同存储位置。ZATAZ将其正确解读为分散策略:倍增可用点,让移除其中任何一处都收效甚微,让快速 takedown 变成横跨司法辖区与供应商的打地鼠游戏。 背景让这一步棋可以读懂。2024年2月,Cronos行动查获了LockBit分布在数十台服务器上的基础设施,把leak-site页面换成执法横幅,总体上羞辱了该品牌(KrebsOnSecurity)。那次行动之所以奏效,是因为LockBit把发布集中在可被定位、可被查封的基础设施上。分散式泄漏正是对那个教训的直接回应:如果载荷在任何人知道位置之前就已分布在十个地方,查封其中一处几乎改变不了什么。分散化对追踪意味着什么
对任何跟踪leak-site可用性的人来说,这比受害者数量更重要。旧模型假定存在一个咽喉:拿下勒索博客或其CDN,施压行动就会停摆。分散化移除了咽喉。单一端点的uptime不再是有效信号,因为行动在设计上就能挺过部分中断。监控必须从单一onion地址扩展到一组不断变化的镜像、bucket和paste类主机,其中一些可能根本不是onion服务。 这映照出darknet market历史上人们早已熟悉的模式:在反复查封之后,官方链接列表与冗余镜像成了生存装备。我们在关于镜像为何显示offline的文章里讲过这场军备竞赛的机制,同样的动态在此适用:冗余战胜单点移除,但也成倍增加了过期链接、冒名副本和死端点积累的表面。分散式泄漏保证:十天之内,那十个位置里必有一些是假的、坏的或布了陷阱的。如何解读接下来的几周
实操结论分三路:- 对被点名的个人,合理姿态是预防而不恐慌:把10万这个数字当作未证实,等待真实发布,并假定钓鱼潮会利用标题,无论真实文件是否会出现。
- 对防守者,教训是9月初是一个由攻击者设定的截止日,而这类截止日在此类事件中不断滑期;倒计时是为了制造紧迫感,不是为了精确。
- 对分析师和监测者,十个同时存在的投放点意味着可用性追踪必须具备分布感知:按还剩多少活位置为行动打分,而不是看某个站点是否解析。