Respuesta de Lockbit al FBI (En español)

Una sola persona logró poner en jaque al FBI y todas las policías digitales del primer mundo. Esta es la traducción del comunicado que publicó 4 días después del ataque a parte de su infraestructura tecnológica.

—–BEGIN PGP SIGNED MESSAGE—– 
Hash: SHA512 
 
Qué pasó. 

El 19 de febrero de 2024 se llevó a cabo una prueba de penetración en dos de mis servidores.  

A las 06:39 UTC, encontré un error en el sitio 502 Bad Gateway. Reinicié Nginx, MySQL , sin cambios. Restauré PHP y el sitio funcionó.  

No presté mucha atención, ya que, nadando en dinero durante 5 años, me volví muy perezoso y continué en mi yate con chicas tetonas. 

A las 20:47, encontré que el sitio daba un nuevo error 404 Not Found en Nginx. Intenté acceder al servidor por SSH sin éxito; la contraseña no coincidía. Más tarde descubrí que toda la información en los discos fue borrada. 

Debido a mi negligencia personal y falta de responsabilidad al no actualizar PHP a tiempo, los servidores tenían instalada la versión 8.1.2, que fue exitosamente probada para la vulnerabilidad CVE https://www.cvedetails.com/cve/CVE-2023-3824/. R 

Resultado de esto ganaron acceso a dos servidores principales donde estaba instalada esta versión.  

En su momento pensé que no se trataba de esta vulnerabilidad, pero no podía estar 100% seguro.  

Lo que sí era claro es que los servidores tenían la versión vieja así que se debería suponer que está sería la forma más probable de como lograron acceso al chat, panel de administración y servidor del blog. 

Los nuevos servidores ya corren en la última versión de PHP 8.3.3, si alguien reconoce un CVE para esta versión, hágamelo saber y será recompensado.  

El problema no solo me afecta a mí.  Cualquier persona que haya usado una versión vulnerable de PHP debe reconocer que su servidor puede estar comprometido. Estoy seguro de que mi competencia podría haber sido hackeada en la misma forma., pero ellos no se han dado cuenta, ni se han dado cuenta cómo pasó. 

Estoy seguro de que los foros que yo conozco también están hackeados en la misma forma usando la vulnerabilidad de PHP. Hay buenas razones para estar seguro de esto. No solo por el ataque del que fui víctima, también por información de informantes.  

Yo me di cuenta del problema con PHP por accidente, yo soy el único con una infraestructura descentralizada con diferentes servidores, de tal manera que me pude dar cuenta rápidamente como se efectuó el ataque.  Si no hubiera tenido backups de los servidores, que no tuvieran PHP en ellos, yo no me hubiera dado cuenta del ataque.  

EL FBI decidió hackearme por una sola razón. Porque ellos no quieren que se filtre información de Fulton (https://fultoncountyga.gov/), los documentos robados contienen interesantes datos del caso Donald Trump que podría afectar las elecciones que vienen. 

Personalmente voté por Trump porque la situación en la frontera con México es una pesadilla. Biden debería retirarse, es un muñeco. Si no fuera por el ataque del FBI, los documentos habrían sido liberados el mismo día, porque las negociaciones se habían paralizado, justo cuando el compañero publicó el comunicado de prensa en el blog, el FBI no quería que se supiera las verdaderas razones de las fallas de los sistemas de la ciudad.  (* Es una parte no muy clara) 

Si no hubiera sido por el tema electoral el FBI podría seguir sentado en mi servidor esperando para arrestarme a mí y a mis asociados, pero lo único que necesitas hacer para no ser atrapado es blanquear criptomonedas con calidad.  

El FBI puede sentarse en tus recursos y coleccionar información útil y no mostrarle al mundo entero que tu fuiste hackeado, porque no causa un daño crítico, solo trae beneficios, ¿qué conclusiones se pueden sacar de esto? 

Muy simple, necesito atacar más al gobierno, más a menudo y más, con este ataque del FBI he sido forzado a mostrar mis debilidades y vulnerabilidades y volverme más fuerte.  Atacando al gobierno usted podrá saber exactamente si el FBI tiene la habilidad para atacarnos o no la tiene. 

Incluso si usted actualiza la versión PHP, después de leer esta información, no es suficiente porque usted tiene que cambiar el hoster, servidores, todas las posibles contraseñas, las contraseñas en la base de datos, auditar el código fuente y migrar todo, no hay garantía de que usted no ha “hardened” en el server.  

No hay garantía de que el FBI no tenga 0day para sus servidores sobre los que ya han aprendido suficiente información para volver a hackear, por lo que sólo un cambio completo de todo lo que sólo puede ser reemplazado ayudará. 

Todos los servidores con los backup de los blogs que no tenían PHP instalado no se infectaron y continuarán publicando información robada de las compañías atacadas.  

Como resultado del ataque a los servidores, el FBI obtuvo una base de datos, acceso a las fuentes del web panel, Locker stubs que no son fuentes como ellos dicen y una pequeña porción de desencriptadores sin proteger.  

Ellos dicen que 1000 desencriptadores, sin embargo, en el servidor había al menos 2000, la mayoría de ellos estaban protegidos y no pueden ser usados por el FBI.  

Gracias a la base de datos robada ellos encontraron los apodos de nuestros afiliados, los cuales no tienen nada que ver con sus verdaderas identidades en foros o chats relativos a las compañías atacadas y las monederas de dinero, las cuales serán investigadas y buscadas por aquellos que no lavan crypto, y posiblemente arrestados en relación a lavado y acusados de ser mis afiliados, sin embargo, no lo son.  Toda esta información no tiene valor alguno si llega a manos del FBI. 

Lo único que es potencialmente valioso y una potencial amenaza es el código fuente.  

Es probable que existan ataques en el futuro, si tu dejas que entren al panel, pero ahora el panel está dividido en servidores, verificados por amigos y terceras personas.  

Una copia del panel por cada servidor y afiliado, antes había un panel para todos.  

Debido a esta separación del panel, y la gran descentralización , asi mismo como la ausencia de desencriptadores de muestra, junto con la máxima protección a los decryptors de cada compañía, la posibilidad de hackeo se ha reducido significativamente.  

La filtración del código fuente también es un hecho que ha afectado a los competidores, eso no los paró a ellos en su labor, tampoco lo harán conmigo.  

El FBI recibió 1000 decryptors, suena bien, pero no parece la realidad.  

Sí, ellos recibieron algunos decryptors sin protección, aquellos que no tienen la máxima protección. 

Haciendo una revision del tiempo ellos solo pudieron haberlos recibido en los últimos 30 días, no se sabe el día que entraron, pero todos sabemos la fecha del CVE disclosure y la fecha en la cual se gener óel error en PHP, antes del 19th. Las compañias atacadas pagaban por decrytors sin protección, de tal manera que existe chance de que estuvieran solo 1 día, seria lindo que el FBI publicara todos los decryptors al público, entonces ustedes podrían creerles, que realmente son dueños de ellos,  

No deberían engañar y presumir de su superioridad con un brillante prentester con un CVE público. 

Vean que la mayoria de decryptors sin protección pertenece a partners quienes se dedican a fuerza bruta y espamear computadores personales, tomando 2000 ransoms,  incluso si el FBI tuviera 1000 decryptors, son de poco uso, el tema principal acá es que no obtuvieron todos los decryptors, de los cinco años de operación cuyo número es de 40,000, parece ser que solo obtuvieron el 2.5% del total, si es grave, pero no es fatal.  

Desde este significativo momento, donde el FBI me da su voz de aliento, empezaré a ser menos perezoso y trataré de construir cada bloque con la mayor seguridad posible, no habrá muestras del decrytp, todos los decryptor serán manuales, para que cuando ataque nuevamente el FBI no se a capaz de tener un solo decryptor de forma gratuita.  

Probablemente, todos se han dado cuenta del maravilloso trabajo de diseño que ha hecho el FBI en el blog, nadie habia tenido semejante honor, usualmente todo el mundo ponía el plug con la alabanza a los servicios especiales del mundo.  

Sin embargo, solo una persona merece el reconocimiento, el tipo que le hizo pentest a mi sitio y encontró el cve, quisiera saber cuánto le habrán pagado y de cuánto fue su bonus, si es menos de 1 millon de dolares, ven trabaja conmigo, usted probablemente ganara más dinero conmigo.  

Ubícame a través de mi Tox. Recuerde que siempre tengo activo un programa bug bounty y pago por bugs encontrados.  El FBI no aprecia sus talentos, yo sí y pago generosamente.  

Un par de mis partners fueron arrestados, para ser honestos, creo que solo son personas que lavan crypto, tal vez ellos trabajan para mixers and exchangers, es por eso que fueron considerado mis partners. 

Sería interesante ver el video de sus arrestos, donde estaban sus casas, Lamborghini y laptops con evidencia de que hacían parte de la operación, pero eso no lo veremos, porque el FBI arresta gente de manera aleatoria para obtener un certificado de su merito.  

Ellos dicen, miren un arresto, pero no se ve el dinero, honestamente estamos trabajando pagando impuestos para que gente aleatoria este en prisión, cuando los pentester callados continúan su trabajo, Bassstelors no fue atrapado, yo sé su verdadero nombre, y es diferente del pobre hombre que atraparon. colo 

No conozco a ningún militar de Sevastaopol Colonel Cassad, y no he donado a nadie, seria lindo que el FBI mostrara la transacción de tal manera que podría revisar en blockchain de donde sacan esas conclusiones y por qué ellos dicen que yo lo hice. Yo nunca hago ninguna transacción a Bitcoin mixer.  

Si yo hubiera usado el mismo servicio de intercambio de cryptocurrency de alguien de Evil Corp no quiere decir que tenga alguna relación con ellos, de nuevo, donde estan las transacciones. Como yo se estan usando cual exchanger.  

Yo usp diferentes exchanger y no tengo todo mi dinero en uno solo, culpemos a los otros quienes usan publicamente exchanfges de Evil Corp. 

Realmente me disgusta que todas estas participaciones se realicen sin publicar transacciones y billeteras, por lo tanto, es imposible verificar lo que es verdad. Puedes acusarme de cualquier cosa sin demostrar nada, y no hay forma de que pueda refutarlo, porque no hay transacciones ni billeteras de bitcoin 

El FBI dice que mis ingresos están por encima de los 100 millones de dólares, esto es verdad. Yo estoy feliz de borrar los chats cuando me pagan altas sumas de dinero. Ahora voy a borrar los pagos pequeños.  

Los números muestran que estoy en el camino correcto. Esto demuestra que ningún ataque informático del FBI puede impedir que un negocio prospere, porque lo que no me mata me hace más fuerte. 

 
EL FBi lo que quiere es destruir la reputación de mi plan de afiliados, quieren desmoralizarme, ellos quieren quitarme mi trabajo, ellos quieren asustarme porque no pueden ubicarme y eliminarme, no puedo ser parado. No puedes ni siquiera esperar, mientras esté vivo seguiré realizando pruebas de penetración con pago posterior. 

Me complace mucho que el FBI me haya animado, me ha dado energía y me ha alejado del entretenimiento y el gasto de dinero. Es muy difícil sentarse frente a la computadora con cientos de millones de dólares; lo único que me motiva a trabajar son competidores fuertes y el FBI. Existe un interés deportivo y el deseo de competir, ya sea con competidores que ganen más dinero y ataquen más empresas, o con el FBI para ver si pueden atraparme o no, y estoy seguro de que no pueden, viendo la forma en que trabajo. 

El FBI prometió publicar mi deanon pero no cumplieron su promesa, esta gente se atreve a mentir sobre que yo supuestamente no borre la información robada de las empresas después de pagar el rescate, payasadas 

Resulta que el FBI se reconoció oficialmente como mentirosos y mienten muy a menudo, como declararon mis conocidos abogados Arkady Buch, Dmitry Naskavets y Victor Smilyanets, ahora les creo al 100%. Hicieron un tonto intento de desacreditarme afirmando que trabajo para el FBI, ¿un hombre que encripta empresas estadounidenses todos los días y gana cientos de millones de dólares lo hace con la aprobación del FBI? ¿Es así como funciona? Muy astuto.  
 

Estarás pensando, ¿por qué iba yo a trabajar por cientos de millones de dólares? Y voy a responder que sólo estoy aburrido, me encanta mi trabajo, me trae alegría de la vida, el dinero y el lujo no traen tanta alegría como mi trabajo, es por eso que estoy dispuesto a arriesgar mi vida por el bien de mi trabajo, así es como brillante, rica y peligrosa vida debe ser en mi opinión.  

*cuando escribo la palabra FBI me refiero no sólo al FBI, sino también a todos sus ayudantes, que saben cómo detener servidores de socios, que actúan como el primer forro después de robar datos de la empresa atacada y no representan ningún valor: South West Regional Organized Crime Unit en el Reino Unido, Metropolitan Police Service en el Reino Unido, Europol, Gendarmerie-C3N en Francia, State Criminal Police Office L-K-A y Federal Criminal Police Office en Alemania, Fedpol y Zurich Cantonal Police en Suiza, National Police Agency en Japón, Australian Federal Police en Australia, Swedish Police Authority en Suecia, National Bureau of Investigation en Finlandia, Royal Canadian Mounted Police en Canadá y National Police en Holanda.  
Así que, por favor, no se ofendan, no me he olvidado de ustedes, también fueron de gran ayuda en esta operación. Pero permítanme recordarles que personalmente creo que la única persona que merece un premio y una mención honorífica es la persona que encontró un CVE PHP público adecuado para mis servidores, supongo que es alguien de Prodaft. 

Una lista de dominios de blogs de copia de seguridad a los que el FBI no pudo acceder porque no tienen PHP instalado en estos servidores. 

Backup blog mirrors, cualquier dominio puede ser sustituido por los enlaces secretos, en caso de que cualquier dominio esté sobrecargado de gente que quiera descargar los datos robados:  (No se publicaron los links)

Nuevo dominios del blog principal (No se publicaron los links)

Incluso después del hackeo del FBI, los datos robados serán publicados en el blog, no hay posibilidad de destruir los datos robados sin pagar.  

Y después de introducir la máxima protección en cada build de locker, no habrá ninguna posibilidad de descifrado gratuito ni siquiera para el 2,5% de las empresas atacadas.  

Los nuevos afiliados pueden trabajar en mi programa de afiliados si tienen una reputación en los foros, pueden demostrar que son pentesters con post-pago, o haciendo un depósito de 2 bitcoins, el aumento del depósito se debe a la prueba y la hermosa publicidad del FBI, que es que mis afiliados y yo ganamos juntos cientos de millones de dólares, y que ningún FBI con sus asistentes puede asustarme y detenerme, la estabilidad del servicio está garantizada por años de trabajo continuo.  

Escribir tox 3085B89A0C515D2FB124D645906F5D3DA5CB97CEBEA975959AE4F95302A04E1D709C3C4AE9B7  

¿Por qué tardé 4 días en recuperarme? Porque tuve que editar el código fuente para la última versión de PHP, ya que había incompatibilidad. 

• Algunos párrafos fueron difíciles de traducir. Si alguien tiene una mejor versión de la traducción puede compartirla en los comentarios y mejoraré el texto. Por supuesto con el respectivo crédito.
• Versión en inglés.