# Lockbit

Lockbit ist eine russischsprachige Gruppe, welche Ransomware-as-a-Service betreibt.
Die Gruppe wurde erstmals im Jahr 2019 durch eine Schadsoftware namens ABCD bekannt. Seit dem Jahr 2020 gibt es die Ransomware Lockbit, mit der auch ein Affiliate-Programm besteht. Im selben Jahr wurde eine Website geschaltet, über die die Gruppe erbeutete Daten entweder bei Nichtbezahlen geforderter Lösegelder veröffentlicht oder bei Bezahlen aushändigt. Im Juni 2021 wurde Lockbit 2.0 veröffentlicht. Die neue Version enthielt eine Funktion namens StealBit zur Automatisierung von Datenabflüssen. Im Juni 2022 wurde Lockbit 3.0 veröffentlicht, welches ein Bug-Bounty-Programm enthält, von dem Hinweise auf Schwachstellen im verschlüsselten Messenger TOX oder allgemein Schwachstellen bei Tor erwartet werden.
Die größte Attacke von Lockbit bis 2021 war die gegen Accenture. Lockbit konnte im Jahr 2021 sechs Terabyte an Daten von der Beratungsfirma entwenden und stellte eine Forderung von 50 Millionen Dollar. Jedoch konnte Accenture die Daten aus Backups wiederherstellen.
Am 30. Mai 2022 wurde bekannt, dass die Fabriken von Foxconn in Mexiko Opfer einer Lockbit-Attacke wurden und ein Lösegeld gefordert wurde.
Eine weitere große Attacke gegen den Autozulieferer Continental AG wurde Ende August desselben Jahres bekannt. Dabei drang Anfang Juli 2022 Lockbit in das Netzwerk des Konzerns ein und erbeutete insgesamt 40 TB an Daten. Es wurde vermutet, dass ein Mitarbeiter eine Schadsoftware gestartet hatte, die per Phishing in das Unternehmen gekommen war. Am 4. August 2022 bemerkte Continental den Angriff, entfernte mit Hilfe eines externen IT-Dienstleisters die Schadsoftware und veröffentlichte den Vorfall, wobei betont wurde, der Angriff sei abgewendet worden. Anfang November jedoch veröffentlichte Lockbit einen Screenshot von Lösegeldverhandlungen, nachdem diese offenbar gescheitert waren. Continental bestätigte daraufhin die anhaltende Erpressung. Mitte November kam eine Liste erbeuteter Dateinamen mit 54 Millionen Einträgen im Darknet auf. Lockbit forderte die Zahlung von 40 Millionen Dollar und drohte bei Nichterfüllung mit dem andertweitigen Verkauf der Dateien. In der Liste fanden sich Dateinamen, die darauf hindeuten, dass es sich dabei um Geheimhaltungsabmachungen mit Firmen aus der Automobilbranche handelt. Weitere Dateien könnten den Jahresabschluss oder den Verwaltungsrat zum Thema haben. Auch Dateien zur IT-Administration waren dabei sowie solche zur Gesundheit einzelner Mitarbeiter. Laut Zeit Online wurden Mitarbeiter nur zögerlich über den Vorfall informiert, erst Anfang November wurde allen Mitarbeitern der Vorfall mitgeteilt.
Im Sommer 2022 wurde die Firma Advanced Computer Software von Lockbit angegriffen. Damit wurden diverse Komponenten des britischen National Health Service ab dem 4. August beeinträchtigt. Vor allem der NHS 111 Service, eine britische Telefonnummer für medizinische Hilfe, war eingeschränkt worden. Die Telefonbearbeiter konnten die Software nicht richtig bedienen und mussten mit Stift und Papier arbeiten. Betroffen waren 16 NHS-111-Abteilungen. Betroffen von der Attacke war die Staffplan- und Caresys-Softwares. Eindringen konnte Lockbit mit Zugangsdaten von einem Drittanbieter und konnte sich weitere Rechte sichern. Dabei wurden auch ein kleiner Teil der Daten heruntergeladen.
Im Oktober 2022 konnte Lockbit in das Netzwerk von Pendragon PLC, einem Britischen Autohändler, eindringen und forderte ein Lösegeld. Pendragon ging jedoch nicht auf die Forderung ein und sagte, dass lediglich 5 % der Daten gestohlen wurden.
Lockbit arbeitete im Jahr 2023 an einer Ransomware, um Rechner von Apple anzugreifen. Eine erste Testversion tauchte auf VirusTotal auf. Diese Version war zwar nicht in der Lage, Dateien zu verschlüsseln, zeigte aber die Absicht von Lockbit, zukünftig auch Geräte des Herstellers Apple anzugreifen.
Im Mai 2023 wurde der russische Hacker Michail Pawlowitsch Matweew (russisch Михаил Павлович Матвеев) von der US-Justiz angeklagt. Der Kriminelle soll unter anderem auch mit Lockbit gearbeitet haben. Da Matweew in Russland lebt, konnte er nicht gefasst werden, aber es wurde ein Kopfgeld auf ihn von bis zu 10 Millionen US-Dollar vom Department of State ausgelobt.
Im Juni 2023 wurde bekannt, dass Lockbit beziehungsweise ein Affiliate versucht, den taiwanesischen Chiphersteller TSMC um 40 Millionen US-Dollar zu erpressen. Der Affiliate „National Hazard Agency“ griff die Kinmax Technologies an, welche Netzwerktechnik, Hosting und Cloud-Dienste anbietet. Dabei wurden die Daten von TSMC abgegriffen. Einige Tage nach dem Angriff, am 3. Juli, wurden auf dem Upload-Portal Mega 16 Dateien veröffentlicht, um der Forderung Nachdruck zu verleihen.
Lockbit wurde im August 2022 selbst attackiert, indem Lockbits Server einem DDOS-Angriff ausgesetzt waren. Die Website, auf welcher die Lösegeldforderung veröffentlicht wurde, war nicht zugänglich. Die Server der Seite musste 400 Anfragen pro Sekunde von 1000 Clients bearbeiten und brach dadurch zusammen.
Am 28. Oktober 2023 gab Lockbit an, den Flugzeughersteller Boeing angegriffen zu haben. Das Unternehmen bestätigte den Angriff am 2. November und teilte mit, dass das Vertriebs­geschäft betroffen sei. Jedoch wollte sich Boeing nicht dazu äußern, wer den Angriff geführt hatte. Die Russische Bande ist erfolgreich in die US Filiale der ICBC eingedrungen. Dies hatte Auswirkungen auf die Liquidität von US-Staatsanleihen. Auch konnten nicht mehr so einfach Daten versandt werden und mussten, um mit der Bank zu kommunizieren, per Kurier über USB-Sticks übertragen werden. Die Bande konnte auch die Deutsche Energie-Agentur (Dena) angreifen. Die Attacke wurde von der Dena am 14. November 2023 veröffentlicht, aber erst im darauffolgenden Dezember wurde bekannt, dass Lockbit sich hinter dieser Attacke befand und ein Lösegeld unbekannter Höhe forderte.
Am 16. Januar 2024 kam heraus, dass Lockbit die Spanische Gemeinde Calvià angegriffen hat und für die Freigabe der Daten 10 Millionen Euro verlangt. Auch der Schweizer Baumaschienvermieter Avesco Rent, als Teil der Avesco, wurde im Dezember 2023 Opfer von der Crackingruppe. Avesco Rent nahmen keinen Kontakt mit Lockbit auf und daraufhin landeten Daten des Vermieters Anfang 2024 in Darknet.
Die NCA, das FBI und Europol haben Im Februar 2024 gemeldet, dass sie Lockbit zerschlagen haben. Auf der Website von Lockbit erscheint ein Hinweis, dass die Website nun unter Kontrolle gebracht habe. Lockbit selber sagte man habe Back-up Server, welche nicht betroffen sind. Beteiligt waren neben den genannten Polizeibehörden auch die Polizei aus Deutschland, Frankreich, Japan, der Schweiz, Kanada, Australien, Schweden, den Niederlanden und Finnland.