Les autorités chargées de l’application de la loi de 12 pays ont arrêté quatre suspects liés au gang de ransomwares LockBit, dont un développeur, un administrateur de service d’hébergement pare-balles et deux personnes liées à l’activité de LockBit.
Cette action conjointe a également conduit à des saisies de serveurs d’infrastructure LockBit et a impliqué des policiers dans l’Opération Cronos, un groupe de travail dirigé par la National Crime Agency (NCA) du Royaume-Uni à l’origine d’une répression mondiale de LockBit et d’une enquête qui a débuté en avril 2022.
Selon Europol, un développeur présumé de ransomware LockBit a été arrêté en août 2024 à la demande des autorités françaises alors qu’il était en vacances hors de Russie.
Le même mois, la National Crime Agency (NCA) du Royaume-Uni a arrêté deux autres personnes liées aux activités de LockBit: l’une serait associée à une filiale de LockBit, tandis que la seconde a été appréhendée pour suspicion de blanchiment d’argent.
Dans une action distincte, à l’aéroport de Madrid, en Espagne, la Guardia Civil a arrêté de l’administrateur d’un pare-balles service d’hébergement utilisé pour protéger LockBit de l’infrastructure.
Aujourd’hui, l’Australie, le Royaume-Uni et les États-Unis ont également révélé des sanctions contre un individu que la NCA britannique pense être une filiale prolifique de ransomware LockBit liée à Evil Corp.
Le Royaume-Uni a sanctionné 15 autres ressortissants russes impliqués dans les activités criminelles d’Evil Corp, tandis que les États-Unis ont sanctionné six personnes et l’Australie en a ciblé deux.
« Ces actions font suite à la perturbation massive de l’infrastructure de LockBit en février 2024, ainsi qu’à la grande série de sanctions et d’actions opérationnelles qui ont eu lieu contre les administrateurs de LockBit en mai et les mois suivants », a déclaré Europol.
Arrestations et accusations supplémentaires de LockBit
LockBit a émergé en septembre 2019 et a depuis revendiqué et été lié à des attaques contre de nombreuses entreprises et organisations de premier plan dans le monde entier, notamment Bank of America, Boeing, le géant de l’automobile Continental, l’Internal Revenue Service italien et le Royal Mail britannique.
En février 2024, l’opération Cronos a fermé l’infrastructure de LockBit et saisi 34 serveurs contenant plus de 2 500 clés de déchiffrement qui ont ensuite été utilisées pour créer un décrypteur gratuit de Ransomware LockBit 3.0 Black.
Le département américain de la Justice et la NCA britannique estiment que le gang a extorqué jusqu’à 1 milliard de dollars à la suite d’au moins 7 000 attaques entre juin 2022 et février 2024.
Parmi les arrestations précédentes d’acteurs du ransomware Lockbit (certains d’entre eux déjà inculpés pour diverses infractions) figurent Mikhail Pavlovich Matveev (alias Wazawaka) en mai 2023, Artur Sungatov et Ivan Gennadievich Kondratiev (alias Bassterlord) en février 2024 et Dmitry Yuryevich Khoroshev (alias LockBitSupp et putinkrab) en mai 2024.
En juillet, les ressortissants russes Ruslan Magomedovich Astamirov et le ressortissant canadien/russe Mikhail Vasiliev ont également admis avoir participé à au moins une douzaine d’attaques de ransomware en tant qu’affiliés à l’opération LockBit ransomware-as-a-service.
Astamirov a été arrêté en Arizona en juin 2023 et accusé d’avoir déployé le ransomware LockBit. Vasiliev, qui a été extradé vers les États-Unis en juin, a déjà été condamné à quatre ans de prison fédérale.