Vor einem Jahr haben Strafverfolgungsbehörden unter der Leitung der UK National Crime Agency die mutmassliche Identität des Administrators und Entwicklers hinter der Ransomware-Bande Lockbit identifiziert. So wurde der Admin mit dem Nutzernamen LockBitSupp während der Operation Cronos als Dmitry Yuryevich Khoroshev enttarnt.

Seither kam es zwar zu Verhaftungen aus dem Umfeld von Khoroshev, der Anführer ist allerdings immer noch auf freiem Fuss. Und Lockbit erpresst weiterhin fleissig Unternehmen und Organisationen – auch in der Schweiz. Jetzt ist die Ransomware-Bande aber selbst einem Hacker auf den Leim gegangen, wie ein Blick auf die zahlreichen Leak-Seiten von Lockbit zeigt.

Dort heisst es: "Don't do crime. Crime is bad. xoxo from Prague". Dazu gibt es einen Link, der zum Inhalt einer SQL-Datenbank für die Affiliates der Ransomware-Bande führt. Dort finden sich Informationen über die Mitglieder der Bande, individuelle Builds und Konfigurationen des Lockbit-Codes, fast 60'000 Bitcoin-Adressen und mehr als 4000 Chats mit angegriffenen Unternehmen.

Damit bieten die Daten einen seltenen Einblick in die Aktivitäten von Lockbit. So können die publizierten Informationen beispielsweise verwendet werden, um einzelne Angriffe den verschiedenen Opfern zuzuordnen oder die Kompilierungsdaten erlauben neue Schätzungen zur möglichen Opferzahl.

Eine Analyse von 'Computer Weekly' (Englisch) zeigt, dass sich Lockbit 2025 vor allem auf den asiatisch-pazifischen Raum konzentriert hat. So fielen 35,5% aller Angriffe auf Unternehmen oder Organisationen aus dieser Region aus. Dahinter folgen Europa mit 22%, Lateinamerika mit 12% und Nordamerika mit 11%.

Die Analyse ergab auch, dass nur eine Handvoll der Mitglieder in diesem Zeitraum sehr aktiv war. Das lässt den Schluss zu, dass der Ruf der Bande nach der Operation Cronos angekratzt ist. Auch hinsichtlich der Löse­geld­forderungen scheint Lockbit mittlerweile kleinere Brötchen zu backen.

So lag der geforderte Betrag von Januar bis Mai oftmals unter 20'000 US-Dollar. Das ist weit entfernt von den massiven Forderungen, die Lockbit beispielsweise bei seinen Angriffen auf grosse Unternehmen wie die britische Royal Mail oder den taiwanesischen Chiphersteller TSMC gestellt hatte.

Es ist unklar, wer den Hack bei Lockbit verübt hat und wie genau er durch­geführt wurde. Es scheint sich dabei aber um dieselbe Organisation zu handeln, die bereits die Darkweb-Site der Ransomware-Gruppe Everest angegriffen hat. Denn auch da ist die Nachricht mit Bezug auf Prag zu lesen.

Ebenfalls ist unklar, ob sich Lockbit von diesem Schlag erholen kann. Nach der Aktion der Strafverfolgungsbehörden konnte die Bande ihren Betrieb wiederherstellen und fortsetzen. Ist dieser Angriff jetzt der endgültige Sargnagel für die Ransomware-Bande?

Auf X bestätigte ein Nutzer mit dem Namen LockBitSupp, dass es einen Cyberangriff auf Lockbit gegeben habe und man derzeit mit dem Wieder­aufbau beschäftigt sei. Ob es sich dabei aber wirklich um den echten Anführer der Ransomware-Bande handelt, kann nicht bestätigt werden.