ОПГ в даркнете: LockBit - самая громкая и живучая банда последних лет

Aintelligence

Контентолог
Команда форума
ЯuToR Science
Подтвержденный
Cinematic
Сообщения
8.397
Реакции
11.048
LockBit стал одним из самых узнаваемых брендов теневой цифровой преступности не потому, что придумал вымогательство в сети, а потому, что довел его до уровня устойчивого сервиса. В этом и заключается парадокс живучести таких групп: даже когда конкретные люди попадают под следствие, сама модель производства преступления остается воспроизводимой. Для серии "Современные ОПГ мира" LockBit интересен именно как пример современной организованной группы, где ядро управляет инфраструктурой и правилами, а основной объем атак выполняют подключаемые исполнители, действующие как наемные участники. При этом термин "даркнет" здесь не про романтизированную "тайную сеть", а про техническую и социальную среду, где проще скрывать личности, продавать доступы, публиковать украденные данные и вести переговоры.

Короткая идентификация фигуранта и исхода. В официальных документах США LockBit описывается как группа, связанная с программами-шифровальщиками и вымогательством, действующая как минимум с сентября 2019 года. 19-20.02.2024 международная операция правоохранительных органов под названием Operation Cronos взяла под контроль значимую часть инфраструктуры LockBit, включая сайты, которые использовались для утечек и коммуникации, а также позволила получить данные, применимые для помощи жертвам. 07.05.2024 Минюст США сообщил о выдвижении обвинений против Дмитрия Хоршева, которого ведомство называет создателем и администратором LockBit, и в тот же период финансовые власти США объявили санкции против него как предполагаемого лидера группы. 01.10.2024 Европол публично сообщил о новых арестах и мерах против участников и инфраструктуры, включая действия против так называемого "пуленепробиваемого" хостинга, который, по версии следствия, обслуживал преступные сервисы. 07.05.2025, по данным нескольких аналитических компаний и сообщениям медиа, внутренняя панель управления LockBit была взломана и ее база данных утекла, что дало редкое окно в повседневную работу вымогателей. Этот набор событий и есть ключевой исход периода: LockBit многократно "ломали" извне, но атаки, подражания и перезапуски продолжались. Об этом мы писали в отдельной статье)

Краткая биография и переход в "цифровой криминал". LockBit возник не "возник на пустом месте". Он появился в эпоху, когда рынок вымогательства в сети уже был сформирован: существовали посредники по доступам в корпоративные сети, были отработаны схемы шантажа утечкой данных, а криптовалютные платежи стали удобным способом принимать деньги без традиционных банковских барьеров. Новизна LockBit заключалась не в идее "зашифровать и требовать", а в организационном дизайне. В публичных описаниях правоохранителей и экспертов группа действовала по модели, где ядро предоставляет инструмент, инструкции, площадки для переговоров и публикации утечек, а подключаемые исполнители получают долю от выкупа. Такая модель расширяет масштабы быстрее, чем замкнутая банда: не нужно самому искать каждую жертву, достаточно создать условия, при которых другие будут делать это за процент. С точки зрения криминологии это похоже на франшизу в преступном исполнении. Ядро не обязано физически присутствовать рядом с жертвой и даже не обязано знать детали каждой атаки. Но оно контролирует важнейшие рычаги: обновления вредоносного инструмента, правила "входа" для исполнителей, репутацию бренда, стандарты переговоров, витрину утечек и механизмы распределения денег. Там, где у классических территориальных ОПГ основой является контроль пространства, у цифровой группы основой становится контроль инфраструктуры и доверия внутри преступного рынка.

Ранние эпизоды и подтвержденные практики. В отличие от уличного криминала, где доказательность часто держится на свидетелях, в киберпреступлениях значимую часть картины дают технические следы и финансовые трассировки. В совместных предупреждениях служб кибербезопасности США и партнеров, опубликованных в 2023 году, LockBit описывается через устойчивые тактики: проникновение в сеть жертвы, закрепление доступа, сбор учетных данных, попытки отключить защитные средства, распространение по сети, шифрование, а также вынос данных с последующим шантажом публикацией. Там же указываются типичные векторы начального доступа: фишинг, компрометация удаленных сервисов, использование уязвимостей, покупка уже готовых доступов у других преступников. Эти элементы важны как подтвержденная "операционная грамматика". Она повторяется от атаки к атаке, меняются детали, но структура остается.

Когда о LockBit говорят как о "самой живучей банде", речь не только о количестве атак. Речь о способности встраиваться в экосистему смежных сервисов. Для современной цифровой ОПГ почти всегда характерна зависимость от цепочки поставщиков: площадки для размещения скрытых сервисов, каналы для отмывания криптовалюты, рынки продажи доступов, поставщики вредоносных инструментов и услуг скрытности. Официальные сообщения Европола в 2024 году прямо указывали на работу по разрушению такой инфраструктуры и на арест администратора сервиса, который, по версии следствия, предоставлял хостинг для преступников. Это важно, потому что живучесть вымогателей определяется не только качеством кода, но и доступностью "индустрии" вокруг.

Связи с государственными структурами в публичном поле чаще всего обсуждаются на уровне подозрений и общих оценок, но для этой статьи принципиально отделить доказанное от предположений. Официальные документы США и ЕС в отношении LockBit говорят о гражданах России или людях с российскими связями как о фигурантах расследований, но это не равно доказательству "государственного управления" группой. Приписывание прямого контроля без судебной базы превращает анализ в пропаганду. Корректнее фиксировать то, что проверяемо: география некоторых обвиняемых, сложность экстрадиции, использование юрисдикций с ограниченным международным сотрудничеством, а также экономическая мотивация и рыночная логика.

Поворотным моментом стала операция 19-20.02.2024. По данным Национального агентства по борьбе с преступностью Великобритании и Европола, правоохранители из ряда стран взяли под контроль значимые элементы инфраструктуры LockBit, включая сайты, которые использовались для давления на жертв и публикации утечек. Публично сообщалось о получении технических данных, которые позволили создавать ключи для расшифровки, и о запуске механизмов помощи пострадавшим. Важный смысл этой операции не в том, что "вымогательство победили", а в том, что государство впервые в отношении LockBit продемонстрировало способность войти в инфраструктуру, извлечь данные и превратить их в инструмент защиты жертв. Это удар по сердцу модели, потому что бренд вымогателя держится на обещании контроля: "мы зашифровали, мы опубликуем, мы не дадим восстановить".

Второй важный поворот - 07.05.2024. Минюст США объявил о выдвижении обвинений против Дмитрия Хоршева как предполагаемого ключевого администратора LockBit, а Министерство финансов США сообщило о санкциях против него. В логике борьбы с организованной преступностью это шаг, который меняет риск для человека, даже если он недоступен физически: затрудняются финансовые операции, ограничивается перемещение, усложняется работа через посредников. Но одновременно это иллюстрирует типичную проблему цифровых ОПГ: если ядро живет в юрисдикции, где арест маловероятен, то персональные меры становятся важными, но не достаточными.
Третий критический поворот - октябрь 2024 года. Европол сообщил о новых мерах против участников и инфраструктуры. Смысл таких "волн" давления в том, чтобы разрушать не только центральный ресурс, но и вторичный слой: исполнителей, поставщиков хостинга, операторов, которые обеспечивают устойчивость системы. Если оставить в живых инфраструктуру и рынок, то бренд может вернуться под новым названием или на старом.
Четвертый и самый важный - 07.05.2025 и утечка внутренней базы данных панели управления. По сообщениям аналитиков и медиа, неизвестный взломал внутренний интерфейс LockBit и выложил выгрузку базы, содержащую переговоры с жертвами, идентификаторы, часть учетных данных исполнителей и другие артефакты. Ценность такой утечки не в удовлетворении любопытства. Она показывает "экономику" вымогательства изнутри: как выбираются суммы, как строится давление, как ведутся торги, какие аргументы используются, как распределяются роли. Но важна и другая сторона: утечка может порождать новые риски, если данные жертв и переписки попадут к третьим лицам. То есть даже удар по преступникам способен вторично травмировать пострадавших.

Понять LockBit как ОПГ означает смотреть на весь цикл преступления. Сначала нужен вход: слабые пароли, уязвимые удаленные сервисы, социальная инженерия, покупка доступа. Затем закрепление и разведка: сбор учетных данных, отключение защит, поиск резервных копий, оценка критичности систем. Далее фаза двойного давления: шифрование и угроза утечки. И наконец финансовая развязка: переговоры, перевод средств, попытки скрыть следы, распределение долей. Именно поэтому правоохранители в 2024 году делали акцент на захвате инфраструктуры и на создании инструментов расшифровки. Это вмешательство в самую больную точку модели: если жертва может восстановиться без выкупа, рынок вымогательства теряет прибыльность. В этом контексте важен проект No More Ransom, на котором публикуются инструменты расшифровки, в том числе связанные с LockBit 3.0. Сам факт появления такого инструмента в официальной международной инициативе важен как показатель того, что часть криптографических ключей или данных могла быть получена правоохранителями в ходе операций. Но этот инструмент не является универсальным решением. Во многих случаях расшифровка невозможна без специфических условий, а еще чаще восстановление упирается в качество резервного копирования и дисциплину в инфраструктуре.

Точно известно из официальных сообщений: LockBit был одним из наиболее активных операторов программ-вымогателей, действовал как минимум с 2019 года и использовал модель с подключаемыми исполнителями. Точно известно: 19-20.02.2024 международная операция Operation Cronos нарушила работу значимой части инфраструктуры LockBit, а правоохранители публично заявляли о получении данных, полезных для помощи жертвам. Точно известно: 07.05.2024 США объявили обвинения против предполагаемого ключевого администратора LockBit и применили финансовые санкции. Точно известно: в 2024 году продолжались аресты и меры в Европе в рамках той же кампании, о чем сообщал Европол. По данным аналитиков и ряда медиа, 07.05.2025 произошла утечка данных из внутренней панели LockBit, и эксперты считали ее подлинной, хотя отдельные элементы содержимого могут требовать независимой проверки. Версией остается все, что касается окончательных ответов на вопросы "кто именно отдавал приказ" в каждой атаке, "как распределялись деньги" в полном объеме, "какая точная иерархия" существовала в ядре, а также любые утверждения о прямом государственном управлении без судебных документов.

В медиа LockBit часто рисуют как почти бессмертного монстра, который каждый раз "возрождается". Такая метафора эмоционально понятна, но она скрывает реальную причину живучести: стандартизированную преступную модель, которую можно копировать. Когда один бренд получает удар, часть исполнителей переходит к другому инструменту, часть меняет вывеску, часть возвращается, если рынок снова позволяет. Поэтому последствия LockBit шире, чем судьба одной группы. Это нормализация вымогательства как массовой формы организованной преступности, где страдают больницы, школы, муниципалитеты и бизнес. Это рост затрат на киберзащиту, страхование, юридическое сопровождение, кризисные коммуникации. Это вторичные травмы жертв, когда утечка данных превращает проблему из технической в социальную. LockBit остается "живучим" не потому, что его невозможно остановить, а потому, что в цифровой среде преступная специализация быстро мигрирует между людьми и инструментами. Эффективное противодействие, судя по документам и практикам последних лет, складывается из трех линий. Первая - разрушение инфраструктуры и цепочек обслуживания. Вторая - персональные меры против ключевых фигур и финансовых потоков. Третья - повышение устойчивости потенциальных жертв: обновления, резервное копирование, многофакторная защита, сегментация сети, готовность к инцидентам. Когда эти линии сходятся, рынок вымогательства теряет предсказуемость. А для ОПГ предсказуемость - это и есть прибыль.
2335. National Crime Agency - сообщение о международной операции Operation Cronos против LockBit, изъятии инфраструктуры и мерах помощи жертвам (20.02.2024) 2336. National Crime Agency - сводная страница о нарушении работы LockBit в рамках Operation Cronos (2024) 2337. Europol - "Law enforcement disrupt world's biggest ransomware operation" о действиях Operation Cronos (20.02.2024) 2338. U.S. Department of Justice - обвинения против Дмитрия Хоршева как предполагаемого создателя и администратора LockBit (07.05.2024) 2339. U.S. Department of the Treasury - санкции против Дмитрия Хоршева как предполагаемого лидера LockBit (07.05.2024) 2340. Europol - "New measures issued against LockBit" о продолжении кампании и мерах против администратора и инфраструктуры (07.05.2024) 2341. Europol - "LockBit power cut" о новых арестах и мерах, включая действия против инфраструктуры размещения (01.10.2024) 2342. CISA - совместное предупреждение "Understanding Ransomware Threat Actors: LockBit" с описанием тактик и рекомендаций защиты (14.06.2023) 2343. Canadian Centre for Cyber Security - совместное предупреждение о LockBit и мерах защиты (14.06.2023) 2344. No More Ransom - каталог инструментов расшифровки, включая LockBit 3.0 Decryptor (доступ к странице инструмента) 2345. No More Ransom - руководство по проверке расшифровки LockBit 3.0, PDF (2024) 2346. Reuters - сообщение о международной операции против LockBit и масштабе активности по оценкам правоохранителей и экспертов (19.02.2024) 2347. Reuters - сообщение об утечке данных из внутренней инфраструктуры LockBit по оценкам аналитиков (08.05.2025) 2348. Trellix - разбор утечки панели управления LockBit и структуры данных (12.06.2025) 2349. TRM Labs - аналитика утечки LockBit и выводы о переговорах и криптовалютных потоках (13.05.2025) Проверено 06.03.2026

Этот обзор носит исключительно информационный характер и не является руководством к применению. Мы рекомендуем соблюдать законодательства любых стран! Автор не имеет конфликта интересов, статья подготовлена на основе открытых данных и рецензируемых публикаций, перечисленных по ходу текста или собраны в конце статьи. Этот материал был создан с использованием нескольких редакционных инструментов, включая искусственный интеллект, как часть процесса. Редакторы-люди проверяли этот контент перед публикацией.
Нажимай на изображение ниже, там ты найдешь все информационные ресурсы A&N
 

Похожие темы

В поле зрения попадают разные типы "игроков". Здесь собраны случаи, относящиеся к киберпреступности: вымогательские группировки, ботнеты, рынки и сервисы кражи учётных данных, а также киберпреступные форумы. Маркетплейсы и форумы, связанные с торговлей наркотиками, вынесены в отдельную часть...
Ответы
4
Просмотры
419
В ночь на 7 мая 2025 года, когда большинство аналитиков ожидало очередной релиз версии LockBit 5.0, на даркнет‑панелях группы внезапно возникло короткое сообщение "Don't do crime - CRIME IS BAD xoxo from Prague" и ссылка на архив paneldb_dump.zip. На первый взгляд это могло показаться очередным...
Ответы
0
Просмотры
952
конце января 2026 года ФБР при участии Минюста США изъяло инфраструктуру форума RAMP (Ransomware and Advanced Malware Protection). С 2021 года площадка служила местом встречи операторов программ-вымогателей и их партнеров, которые взламывали сети жертв, разворачивали шифровальщики и делили...
Ответы
0
Просмотры
90
Говорить о "хакерских кланах" Ближнего Востока как об одном явлении неправильно. Здесь одновременно существуют три разных контура. Первый - государственно ориентированные сети кибершпионажа и саботажа, которые в отчётах чаще фигурируют как "кластер", "группа", "кампания" и почти всегда привязаны...
Ответы
11
Просмотры
759
После ареста легендарного админа XSS форум взорвался кризисом доверия. Домен накрыли, модеры исчезли, депозиты зависли, а пользователи разбежались. Вакуум моментально заполнил DamageLib — к концу августа туда рванули 33,5 тысячи аккаунтов, почти две трети базы XSS. Но оживлённого движа не...
Ответы
4
Просмотры
508
Назад
Сверху Снизу