Lockbitへ行われた共同捜査 Operation Cronos についてまとめてみた

2024年2月20日、日本を含む複数の司法機関の共同捜査により、Lockbitランサムグループの関係者2名の逮捕とリークサイトなどのインフラのテイクダウンが行われました。ここでは関連する情報をまとめます。

共同捜査の成果

Lockbitランサムグループに対して10か国の法執行機関が参加した共同捜査はEUROPOLなどが調整を行っていたもので、作戦名はOperation Cronos。フランスからの要請を受け開始された。EUROPOLや英国NCA、米国司法省などが共同捜査に関連した情報について公表を行っており、そこではこの捜査を通じた主な成果として次の5つが上げられている。

Lockbit関係者の摘発や起訴
フランス司法機関の要請を受け、ポーランド、ウクライナの両国において関係者2名が逮捕された。またフランスおよび米国司法機関より、3件の国際逮捕状および5件の起訴状の発行が行われた。米国はLockbitのアフィリエイトとしてランサムウエアの感染活動を行った2名を起訴および制裁対象としており、このうち一人は「Bassterlord」「Fisheye」というアカウント名で活動を行っていた人物。過去には別のランサムウエアグループ（REvilやRansomEXX、Avaddon）との関係もあったとされている。
関連サーバーのテイクダウン
ランサムウエアの活動に用いられていた合計34台のサーバーがテイクダウンされた。サーバーはオランダ、ドイツ、フィンランド、フランス、スイス、オーストラリア、米国、英国の8か国に存在していた。このうち、28台はLockbitのアフィリエイトにより使用されていたものだった。
暗号資産口座の凍結
Lockbitランサムグループに関連する200以上の暗号資産口座の凍結が行われた。共同捜査では約3万件の暗号資産口座が確認されており、英国NCAの分析によれば口座には2,200BTCが未使用のままであった。
不正利用アカウントの停止
ツールやソフトウエアをホストなどのLockbitの活動に関与した14,000を超える不正なアカウントが特定され、法執行機関による削除依頼が行われた。
RaaSインフラの掌握
英国司法機関（NCA）はLockbitのリークサイトやサービス稼働に使用されたインフラのネットワークに侵入しこれを制御下においた。さらにLockbitのプラットフォームのソースコード、被害組織の情報、1,000以上の復号キーなども入手した。

共同捜査は準備のために5回の調整会合が開催され、さらに捜査の最終段階に向けて27回の運営会議、1週間にわたる技術的なスプリントの開催を4回行い、捜査の方向性の調整が進められた。また情報共有としてEUROPOLのSIENA（Secure Information Exchange Network Application）が使用され、今回の捜査では1,000件以上の関連するメッセージのやり取りが行われた。これはEC3（欧州サイバー犯罪センター）において最も活発な捜査の1つであったとEUROPOLは評価をしている。
Lockbitのアフィリエイトは情報窃取用ツール「Stealbit」を使用して被害組織からデータの窃取を行っていた。これに関連したインフラは3か国に拠点があり、今回の共同捜査で摘発された。
米国では2022年以降、今回の捜査以前に合計3人のLockbit関係者に対して起訴を行っている。このうち、二人は既にカナダとアメリカで拘留中。もう１人は、最大1,000万ドルの報奨金の対象となっている。
米国国務省は、Lockbitランサムグループの摘発や有罪判決につながる情報、およびLockbitの主要リーダーの特定などの情報提供した人に対し、1,500万ドル（約22憶5千万相当）の報奨金を支払うことを発表した。*1
- Reward Offers for Information on LockBit Leaders and Designating Affiliates
日本の警察庁は、これまでに少なくとも30か国に対してLockbitの活動で確認されたIPアドレスの照会を行っていた。*2

リークサイト跡地に掲載されたOperation Cronosによる Seizure Banner

共同捜査関係機関

Operation Cronosに参加した10か国の司法機関は次の通り。

フランス	National Gendarmerie (Gendarmerie Nationale – Unité nationale cyber C3N)
ドイツ	State Bureau of Criminal Investigation Schleswig-Holstein(LKA Schleswig-Holstein), Federal Criminal Police Office (Bundeskriminalamt)
オランダ	National Police (Team Cybercrime Zeeland-West-Brabant, Team Cybercrime Oost-Brabant, Team High Tech Crime) & Public Prosecutor’s Office Zeeland-West-Brabant
スウェーデン	Swedish Police Authority
オーストラリア	Australian Federal Police (AFP)
カナダ	Royal Canadian Mounted Police (RCMP)
日本	National Police Agency (警察庁)
英国	National Crime Agency (NCA), South West Regional Organised Crime Unit (South West ROCU)
米国	U.S. Department of Justice (DOJ), Federal Bureau of Investigation (FBI) Newark
スイス	Swiss Federal Office of Police (fedpol), Public Prosecutor's Office of the canton of Zurich, Zurich Cantonal Police

また次の4か国の支援を受けて捜査が成功したと公表。

フィンランド	National Police (Poliisi)
ポーランド	Central Cybercrime Bureau Cracow (Centralne Biuro Zwalczania Cyberprzestępczości - Zarząd w Krakowie)
ニュージーランド	New Zealand Police (Nga Pirihimana O Aotearoa)
ウクライナ	Prosecutor General`s office of Ukraine (Офіс Генерального прокурора України), Cybersecurity Department of the Security Service of Ukraine (Служба безпеки України), National Police of Ukraine (Національна поліція України)

ツール名	概要
Decryption ID checker (check_decryption_id.exe)	組織ごとに採番されている復号用IDに対して、法執行機関で回収済みの既知の復号キーと照合。一致した場合は、被害企業においてデータ復旧が可能であり、次のアクションがツール上で表示される。オフラインの環境でも実行することが可能。
Check Decrypt for LockBit 3.0 (check_decrypt.exe)	特定の数のファイルに対してデータ回復が可能かを検証するツール。復号可能性は複数の要素に依存しており、暗号化されたデータに対してもアクセスが必要。あくまでも部分的な復号の可能性について検証を行うもので、全体的な解決手段とはならない。オフライン環境でも実行することが可能。実行後に復号可能なファイルの一覧を記載したCSVファイルが出力される。

関連トピック(5) Lockbit の活動再開宣言

2024年2月24日頃に、これまでとは別のURLでLockbitのリークサイトが再び公開された。当該サイトでは既に複数の被害組織のものとみられるデータ開示が行われていたほか、リーク情報を集めたページには約700の被害組織とみられるデータの公開も行われており、ここには過去に被害が確認された組織が含まれているとみられる。さらに被害組織のものとみられる情報開示は再公開以降、１日数件ずつ追加されており、掲載総数は2月29日時点で20件以上となっている。
再公開されたリークサイトではLockbitからの長文メッセージの掲載も行われている。司法機関による差し押さえを受けた当日の様子や侵害に至った推測される要因、さらにOperation Cronosの成果に対するLockbit側の見解など、総じてこれまでの活動に多大な影響はないと説明した内容。加えて、今後は政府機関に対してより積極的に攻撃する必要があると言及している。
再開に4日を要したことについて、最新のバージョンへPHPをアップデートするにあたり、互換性の問題が確認され、ソースコードの変更を必要としたためだったと説明。
Lockbit関係者の摘発や起訴に対しては数名の関係者が逮捕されているが、この事実に疑問を抱いているのが正直なところと言及。「恐らくは暗号資産のミキシングを行っていた者たちでミキサー、エクスチェンジャーと共同作業を行っていたために関係者と判断されたのではないか。司法機関は無関係な人を逮捕し、功績の証明としている」と主張した。
さらに「本物の実行者は静かに仕事を続けており、実際Bassterlordは捕まっていない。私はBassterlordの本名を承知しているが、司法機関が摘発した人とは別だ」と述べている。
司法機関はデータベース、Webコンソールのソースコード、ロッカー（ランサムウエア）のスタブ、一部の非保護の復号キーを入手したことを認めた。しかしサーバー上には約20,000の復号キーが保護された状態で保管されていたとしており、司法機関はこれを使用できないと説明。またデータベースからチャット内容や送金先口座のアドレスを特定しているが、通常これらはハッキングの必要すらなく、すべて司法機関に共有され、保険代理人や交渉人に毎回提供されているものであると見解を述べた。
また唯一の懸念としてはソースコードのリークで将来的にハッキングされる可能性をあげた。Webパネルは複数のサーバーに分散されており、復号キーも最大限保護していることからハッキングの可能性は大幅に低減したと対策を明らかにしている。さらにソースコードのリークは他ランサムグループでも生じているが活動がとまった例はなく、Lockbitも同様だとした。
司法機関が入手した復号キーの大半は個々のPC利用者にスパムを送り2,000ドル相当の身代金を要求するレベルの低いアフィリエイトのもので、ほぼ役に立つことはないとみていると言及。Lockbitの活動期間中に発行された4万件の復号キー（サーバー上に約2万件が存在）の多くは入手できておらず、全体の2.5%程度であることから致命的な影響はないとした。
今回の件を受け、今後は試行的な復号の確認においても自動発行するのではなく、手動対応の方針とすることを説明。そのため今後同様の攻撃を受けたとしても復号キーが入手することはできないとしている。
Lockbitのサーバーの脆弱性を発見した人に対しては称賛するコメントを記載。また差し押さえ後のサイトで表示されていたプリローダーのデザイン（米英欧がLockbitロゴの周りをまわっているもの）についても気に入ったらしく、デザイナーへの賛辞を送っている。

日付	出来事
2022年4月	フランスの要請を受け、EUROJUSTが調整し共同捜査が開始。
2023年12月	警察庁がEUROPOLへ復号ツールを提供。
2024年2月19日	Lockbitのリークサイトが閉鎖され、差し押さえの画面表示に変更。
2024年2月20日	EUROPOLなど複数の法執行機関がOperation Cronosについて公表。警察庁も復号ツールの公開を行ったことを公表。
2024年2月21日	米国国務省がLockbitランサムグループの情報提供に対して総額1500万ドルに報奨金を出すと公表。