Connexion
LockBit - L'empire russe tombé à cause d'une simple faille PHP
Cet article fait partie de ma série de l’été spécial hackers. Bonne lecture !
2,4 milliards de dollars, c’est le montant des dégâts causés par un seul groupe de hackers russes entre 2019 et 2024. Et le truc marrant dans cette histoire c’est qu’en mai 2025, ces mêmes génies de la cybercriminalité se sont fait pirater par des hackers anonymes qui ont balancé tous leurs secrets sur Internet.
C’est vrai que j’ai toujours eu un faible pour les histoires de David contre Goliath, sauf que là, c’est l’inverse. C’est l’histoire de Goliath qui terrorise la planète entière avant de se prendre une pierre dans la gueule, et cette pierre, elle ne vient pas d’où vous croyez.
Le logo menaçant de LockBit qui a fait trembler des milliers d’entreprises
Septembre 2019, Dmitry Yuryevich Khoroshev, 26 ans, est développeur informatique lambda dans la grisaille de Omsk, en Sibérie. Le gars bosse probablement pour 300 euros par mois, galère à payer son appart communiste, et regarde les oligarques russes se goinfrer à la télé. Vous voyez le tableau ? Frustration maximale.
Alors Dmitry, il a une idée. Une idée de génie maléfique, si on peut dire. Au lieu de rester dans son coin à développer des sites web foireux, pourquoi ne pas créer le ransomware le plus puissant de la planète ? Après tout, c’est juste du code, et lui, il sait coder.
Les premières attaques commencent donc discrètement. Son bébé s’appelle encore “virus .abcd”, ouais, naze comme nom, hein ? C’est l’extension qu’il colle aux fichiers chiffrés. Mais bon, même Steve Jobs a commencé avec l’Apple I dans un garage. Dmitry, c’est pareil, sauf que son garage c’est l’internet russe et son Apple I c’est un malware qui va faire trembler Boeing et TSMC.
En janvier 2020, notre futur empereur du crime débarque sur un forum cybercriminel russophone et cette fois, il a trouvé le bon nom : LockBit. Percutant, efficace, ça sonne comme une marque de cadenas allemand. Et c’est exactement ça, un cadenas numérique inviolable sur vos données les plus précieuses.
Mais Dmitry, il est malin. Plus malin que tous ces script kiddies qui piratent 3 serveurs et se prennent pour Anonymous. Lui, il a compris le truc : pourquoi faire le boulot tout seul quand on peut créer une franchise criminelle ?
Vous connaissez le Software-as-a-Service ? Salesforce, Office 365, tout ça ? Et bien Dmitry a inventé le Crime-as-a-Service. Et franchement, côté business model, c’est du génie pur.
L’interface du site de leak de LockBit où les victimes voyaient leurs données exposées
Le principe est d’une simplicité déconcertante. LockBit développe le ransomware, maintient l’infrastructure, gère le support client (si si, ils ont un support client), et recrute des affiliés pour faire le sale boulot. En échange, Dmitry prend sa commission à savoir 20% sur chaque rançon payée. Pas mal comme taux, non ?
Leur interface d’administrationn, c’est du niveau de ce qu’on fait en entreprise pour des clients légitimes. Interface point-and-click, tableaux de bord avec statistiques en temps réel, générateur automatique de ransomware personnalisé. Même leur FAQ était mieux foutue que celle de la plupart des startups parisiennes.
Mais le coup de génie, c’est le recrutement. LockBit ne prend pas n’importe qui. Non, ils chassent les experts en pentest qui maîtrisent Metasploit et Cobalt Strike. Des gars qui savent réellement s’infiltrer dans un réseau d’entreprise, pas juste télécharger un script sur GitHub. C’est la différence entre un cambrioleur amateur et un perceur de coffres-forts suisse.
Et contrairement aux autres gangs de ransomware qui se payent d’abord et donnent les miettes aux affiliés, LockBit fait l’inverse. Les affiliés touchent leur part directement, puis reversent la commission. C’est psychologiquement très fort car ça donne l’impression d’être un partenaire, pas un employé.
Puis en juin 2021, LockBit 2.0 débarque. Interface encore plus léchée, nouvelles fonctionnalités, vitesse de chiffrement améliorée. Dmitry soigne son produit comme Tim Cook soigne l’iPhone. Et ça marche ! Les affiliés se bousculent au portillon.
2022-2023, c’est l’apogée. LockBit devient la Tesla des ransomwares, tout le monde veut sa place au volant. Les chiffres donnent le vertige selon le FBI : 44% de tous les incidents ransomware mondiaux passent par eux. Presque la moitié ! C’est du quasi monopole !
Mais parlons peu, parlons chiffres concrets. Selon les rapports du FBI, entre janvier 2020 et mai 2023, il y a eu plus de 1700 attaques rien qu’aux États-Unis et 91 millions de dollars de rançons payées officiellement. Et ça, c’est juste ce qu’on sait. La réalité doit être 5 fois plus importante.
Boeing. 43 Go de données volées, 200 millions de dollars de rançon exigée. Quand j’ai lu ça, j’ai failli tomber de ma chaise. Boeing a confirmé le cyber incident mais a refusé de payer. Imaginez quand même la gueule des dirigeants de Boeing quand ils ont découvert que leurs plans du 737 MAX étaient en vente sur le dark web.
TSMC, le fabricant de puces d’Apple et AMD. Une attaque via leur fournisseur Kinmax Technology, 70 millions réclamés. TSMC a immédiatement coupé les liens avec Kinmax.
Et Royal Mail ! Le service postal britannique paralysé par des Russes. Plus d’envois internationaux pendant six semaines, et une rançon de 66 millions de livres exigée. Elizabeth II doit se retourner dans sa tombe.
Ce qui m’impressionne le plus, c’est quand même leur professionnalisme. Regardez leurs négociations avec les victimes (et oui, on peut les lire maintenant grâce aux fuites de 2025), c’est du niveau relation client d’Amazon. Ils expliquent le processus, rassurent sur la récupération des données, proposent même des facilités de paiement. Du grand art.
Le système technique de LockBit, c’est également du costaud. Chiffrement AES-256 bits combiné avec RSA-2048 pour les clés. Et surtout double extorsion systématique : on chiffre vos données ET on les exfiltre. Si vous ne payez pas, non seulement vous ne récupérez rien, mais en plus on balance tout sur le net. C’est vicieux mais efficace.
La vitesse de chiffrement ? C’est 100 000 fichiers par minute sur un serveur standard. Avec leur builder, en 3 clics, vous générez un ransomware personnalisé avec votre adresse Bitcoin, votre message de rançon, vos exclusions de fichiers. C’est le McDonald’s du crime, rapide, standardisé, efficace.
Dmitry, pendant ce temps, se paye une vie de milliardaire. 100 millions de dollars personnels. À 29 ans, parti de développeur sibérien à 300 euros par mois il vit son rêve russe, version cybercriminelle.
Sauf que comme tous les empires, LockBit avait ses failles. Et les gentils de ce monde préparaient leur contre-attaque.
Le site de LockBit après sa saisie lors de l’Opération Cronos - “Cette page est maintenant sous le contrôle des forces de l’ordre”
Février 2024 c’est l’Opération Cronos. Le nom fait classe, vous trouvez pas ? Cronos, le titan qui dévore ses enfants dans la mythologie grecque, c’est le symbole parfait pour une opération qui va bouffer LockBit de l’intérieur.
10 pays mobilisés. France, Royaume-Uni, États-Unis, Allemagne, Pays-Bas, Suisse, Japon, Australie, Canada, Suède. Quand vous voyez une coalition pareille, vous savez que ça va saigner. L’ANSSI, la Gendarmerie, le FBI, Europol selon le communiqué officiel… Tout l’alphabet de la lutte anti-cybercrime mobilisé. Et leur plan est chirurgical et impitoyable.
34 serveurs saisis d’un coup, 200 comptes cryptomonnaies gelés, 14 000 comptes en ligne fermés. Et surtout plus de 1000 clés de déchiffrement récupérées pour aider les victimes. C’est du level débarquement de Normandie, version bits et octets et en une nuit, 5 ans d’empire criminel réduits en cendres.
Mais le plus beau, c’est le 7 mai 2024 quand les autorités balancent la photo de Dmitry Khoroshev avec son vrai nom. Plus de pseudonyme “LockBitSupp” qui faisait peur sur les forums. Juste un trentenaire russe qui ressemble à votre cousin fan de Tibo inShape. Et surtout 10 millions de dollars de récompense sur sa tête. De quoi motiver quelques chasseurs de primes.
Et les détails personnels révélés sont nombreux… né le 17 avril 1993, passeport russe numéro 2006801524…etc. Le mec qui terrorisait la planète a maintenant sa date d’anniversaire sur Wikipedia. Happy birthday, Dmitry !
Dmitry Khoroshev sur l’affiche du FBI avec 10 millions de dollars de récompense
Bref, la machine de guerre LockBit, construite durant 5 ans, détruite en 48 heures. Game over.
Enfin… c’est ce qu’on croyait.
Parce que évidemment, Dmitry n’allait pas ranger ses affaires et ouvrir un kebab à Omsk. Quelques semaines après Cronos, LockBit refait surface. Sites web recréés, affiliés remobilisés, nouvelles victimes revendiquées. Le gars a même eu les couilles de narguer le FBI publiquement. “Le FBI bluffe, je ne suis pas Dmitry” a-t-il déclaré selon The Record. Bon, c’est pas exactement ce qu’il a dit parce que je ne parle pas russe, mais l’idée est là.
Et là, j’avoue, j’ai respecté. Pas pour le crime, hein. Mais pour la ténacité. Se faire démanteler par une coalition internationale et revenir au combat 3 semaines plus tard, faut avoir des burnes en titanium. Ou être complètement barré. Ou les deux.
LockBit 4.0 est même annoncé pour février 2025. Nouvelle version, nouvelles fonctionnalités, nouveau marketing. Dmitry fait du Steve Jobs version criminelle avec une keynote par an pour présenter les nouvelles features de son ransomware.
Sauf que cette fois, il y avait quelqu’un d’autre qui préparait un coup. Quelqu’un que personne n’avait vu venir.
Le message laissé par les mystérieux hackers de Prague : “Don’t do crime, crime is bad xoxo from Prague”
Mai 2025. Je suis tranquillement en train de checker mes flux RSS quand je tombe sur ça : “LockBit Infrastructure Breached”. Evidemment, je vérifie et là… bordel. Quelqu’un avait vraiment piraté LockBit. Pas les serveurs publics, non. Leur infrastructure interne. Le saint des saints. Leurs bases de données privées.
Le message sur leur site web défiguré est le suivant “Don’t do crime, crime is bad xoxo from Prague.” C’est exactement le même message que celui affiché après le piratage du groupe Everest en avril. C’est une signature, un trolling de niveau galactique.
Mais le meilleur restait à venir, parce que nos pirates anonymes, n’ont pas juste défiguré le site. Ils ont divulgué toute la base de données de LockBit. Absolument tout. 59 975 adresses Bitcoin, plus de 4400 conversations avec les victimes. Les mots de passe des admins stockés en clair. Les détails financiers. L’infrastructure technique. Les pseudos des affiliés. Même leurs querelles internes.
Bref, c’est une mine d’or pour comprendre comment fonctionne vraiment un empire criminel de l’intérieur.
Les mots de passe d’abord. “Weekendlover69”. “MovingBricks69420”. “Lockbitproud231”. Sérieusement ? L’empire cybercriminel le plus sophistiqué de la planète protégé par des mots de passe de collégien travaillé par ses hormones ?
Et puis les conversations internes, c’est bien naze… “I hate that idiot Leo.” “Too many ID chat windows, I will establish communication again later.” Des pirates épuisés, stressés, qui s’engueulent comme dans n’importe quelle boîte. La légende du cybercriminel concentré et froid qui s’effrite en direct…
Les chats internes de LockBit
Mais le plus humiliant, ce sont les statistiques commerciales. Sur 210 négociations de rançon entre décembre 2024 et avril 2025, seulement 15 ont abouti à un paiement. 7,1% de taux de conversion. 615 000 dollars récoltés sur la période, c’est le chiffre d’affaires d’une PME française lambda.
Hé oui, l’empire qui faisait trembler Boeing et TSMC génère moins de thunes qu’un salon de coiffure à Arras. C’est la vérité derrière le rideau de fer et cerise sur le gâteau, on a aussi accès à leurs outils d’attaque, les URLs pour tester les failles XSS, les domaines .onion sur TOR, les infrastructures automatisées…etc. Tout ça divulgué publiquement.
Les experts de SlowMist suggèrent que les hackers ont exploité une vulnérabilité PHP 0-day ou 1-day. Une simple faille dans PHP 8.1.2 permettant l’exécution de code à distance. LockBit, les rois de l’exploitation de failles, se font avoir par… une faille. L’arroseur arrosé.
Mais au-delà de l’humiliation, ces fuites révèlent des trucs fascinants sur l’économie souterraine du ransomware. Parce que oui, c’est vraiment une économie, avec ses règles, ses acteurs, ses marges.
Le modèle RaaS de LockBit, c’est du franchising pur où l’affilié paie entre 40 et plusieurs milliers de dollars par mois pour accéder aux outils et en échange, il bénéficie de l’infrastructure, du support technique, et même de formations.
Leur panel d’administration est plus ergonomique que la plupart des outils légitimes que j’utilise au quotidien. Gestion des victimes, génération automatique de variants du ransomware, outils de chiffrement/déchiffrement, même un module de business intelligence pour analyser les performances.
Et leur support client avec les victimes est redoutable d’efficacité. Ils ont des templates, des procédures, des escalades. Comme dans n’importe quel centre d’appels, sauf qu’au lieu de vous vendre un crédit conso ou des panneaux solaires, ils vous expliquent comment payer 50 millions en Bitcoin.
Ce qui me fascine le plus, c’est leur compréhension de la psychologie des victimes. Ils rassurent, promettent la confidentialité, proposent des “tests” de déchiffrement pour prouver qu’ils peuvent vraiment récupérer les données et ils ont même des réductions pour payement rapide. C’est du marketing pur.
L’innovation continue aussi. StealBit, leur logiciel d’exfiltration de données maison, des mises à jour régulières du ransomware, une veille concurrentielle sur les autres gangs… Bref, c’est une vraie startup, qui est juste illégale.
Et surtout derrière les gros titres Boeing et TSMC, il y a des milliers de victimes invisibles. PME françaises, hôpitaux de province, mairies de communes de 2000 habitants. Eux, ils n’ont pas 200 millions en cash pour négocier. LockBit visait méthodiquement les maillons faibles.
Et puis il y a les hôpitaux. Corbeil-Essonnes en août 2022. Dix millions de dollars de rançon pour un hôpital public français. Vous imaginez la gueule du directeur quand il a découvert que tous les dossiers médicaux étaient chiffrés ? Les urgences à l’arrêt, les patients renvoyés dans d’autres établissements. Et Dmitry et sa bande, ils s’en foutent. Business is business.
Puis Cannes en avril 2024. Encore un hôpital français. Dmitry, il a visiblement un kink avec notre système de santé. Peut-être que sa mère a mal été soignée dans un hôpital russe et qu’il se venge sur nous ? Allez savoir la psychologie d’un cyber-psychopathe.
Ce qui me rend dingue, c’est cette asymétrie. On parle quand même d’un mec de 30 ans qui depuis son appart de Omsk, peut paralyser l’hôpital d’une ville de 50 000 habitants en France. 10 lignes de code bien placées et hop, 500 lits d’hôpital hors service.
LockBit avait pourtant promis de ne jamais attaquer les hôpitaux. Une “règle éthique” de leur programme RaaS, mais bon, l’éthique chez les criminels, c’est comme les promesses d’un politique, ça vaut pas tripette. Mais heureusement, il y a aussi les gentils. Et eux, ils ont pas chômé.
Car l’Opération Cronos selon la National Crime Agency, c’est pas juste de la com’. Derrière, il y a des centaines d’enquêteurs qui ont bossé pendant des années. Des types de l’ANSSI qui passent leurs nuits à traquer des serveurs en Ukraine. Des agents du FBI qui apprennent le russe pour infiltrer les forums. Des gendarmes français qui comprennent mieux les cryptomonnaies que 99% des français.
Et puis il y a les anonymes de Prague. Parce que oui, c’est forcément des Tchèques puisque le message le dit (lol). Ces gars-là, ils ont réussi là où 10 gouvernements avaient échoué. Infiltrer complètement LockBit et balancer toutes leurs données.
Ce qui me plaît surtout dans cette histoire, c’est qu’on voit que la tech peut être utilisée dans les deux sens. Dmitry a utilisé son talent pour faire du mal. Les anonymes de Prague ont utilisé le leur pour rétablir l’équilibre. Le code n’est ni bon ni mauvais, tout dépend de qui tape sur le clavier.
Le chiffre d’affaires cumulé de Lockbit c’est plus de 500 millions de dollars selon Europol. Mais les dégâts réels sont estimés à plus de 2 milliards. C’est le PIB de Saint-Marin près de la frontière italienne. Ou 74 fois le budget de la cybersécurité française.
Entre juin 2022 et février 2024, plus de 7000 attaques utilisant LockBit ont eu lieu, soit un quart de toutes les attaques ransomware mondiales. Si c’était une entreprise légitime, elle serait dans le Fortune 500.
Alors qu’est-ce qu’on retient de cette saga ?
Et bien d’abord que personne n’est invincible sur internet. Dmitry se croyait intouchable, planqué derrière ses VPN et ses cryptomonnaies, résultat, il a sa photo d’identité publiée par le FBI et 10 millions de récompense sur sa tête.
Ensuite que la collaboration internationale peut fonctionner. Quand 10 pays décident de s’unir contre un ennemi commun, même le plus gros gang de cybercriminels du monde peut tomber. L’Opération Cronos, c’est la preuve que les gentils peuvent gagner quand ils s’y mettent sérieusement.
Et puis il y a cette leçon délicieuse : l’hubris tue toujours. Dmitry et sa bande se croyaient tellement supérieurs qu’ils ont négligé leur propre sécurité. Mots de passe ridicules, serveurs mal protégés, arrogance maximale. Et boom ! Piratés par des anonymes qui les ont ridiculisés publiquement.
Bref, la tech, c’est comme les arts martiaux. Plus tu montes en niveau, plus tu réalises que tu peux te faire battre par n’importe qui. L’humilité, n’est pas optionnelle dans ce métier.
Et maintenant ? Et bien Dmitry court toujours. Où qu’il soit planqué, il doit pas dormir tranquille. Ses 100 millions de dollars sont probablement encore accessibles, mais compliqués à utiliser car c’est difficile de mener la grande vie quand on est l’un des hommes les plus recherchés de la planète. Et puis maintenant, on connaît ses adresses Bitcoin donc chaque transaction est tracée…
Depuis la chute de LockBit, RansomHub a récupérè 41% du marché, BlackBasta se développe, Mora_001 utilise une variante de LockBit 3.0 comme base. Bref, l’empire est mort, mais l’ADN de LockBit survit.
En conclusion, le crime ne paie pas, surtout quand on commet les mêmes erreurs que ceux qu’on attaque…
Sources : Wikipedia - LockBit, U.S. Department of State - Dmitry Khoroshev Reward, Europol - Operation Cronos, National Crime Agency - LockBit Takedown, The Block - Prague Hack Analysis, The Record - Hospital Attacks, CyberScoop - Boeing Attack, BleepingComputer - LockBit Hacked
