Thread by @ValeryMarchive

Vous avez raté l'actu du week-end ? Les sites miroirs de #LockBit 3.0 font l'objet d'une attaque #DDoS depuis quelques jours ⬇️

https://twitter.com/AShukuhi/status/1561182165525831680

La raison ? La divulgation des données volées lors de la #cyberattaque conduite contre #Entrust, assure l'opérateur de la franchise #LockBit, logs de requêtes à l'appui ! 😲
Faudrait-il y voir une forme de #HackBack ?

https://twitter.com/vxunderground/status/1561262483448512513

Qu'a donc divulgué #LockBit, vendredi soir ? Des fichiers attribués à @Entrust_Corp, par l'attaquant, assortis d'un nombre, inégalé à ce jour, de 30 captures d'illustration, portant notamment sur ce qui ressemble à des données commerciales. Mais pas que...

En prime, l'attaquant semble avoir décidé de divulguer une conversation, qu'il présente comme liée à l'attaque, comme les affidés #LockBit semblent avoir décidé de le faire plus en plus fréquemment. Prochaine étape ? Diffusion des fichiers via BitTorrent.

Les sites vitrine de #LockBit sont toujours très difficiles d'accès. Mais ce qui est présenté comme un échange survenu entre un interlocuteur pour Entrust et l'attaquant n'en est pas moins intéressant.

Tout d'abord, l'assaillant semble avoir été bien patient. Peut-être parce qu'il voulait croire en une réelle possibilité de paiement ?
Revendication publiée le 25 juillet alors que le contact avait interrompu 12 jours plus tôt.

Souvenez-vous : @Entrust_Corp a indiqué avoir "appris" l'existence d'une intrusion le 18 juin. Mi-juillet, cela fait donc quasiment un mois que les investigations ont été lancées.

https://twitter.com/AlvieriD/status/1550119202287013891?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1550119202287013891%7Ctwgr%5Eb8aab4b08ef7d49b7e1f2ab1c637e49281ac145f%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fwww.lemagit.fr%2Factualites%2F252523042%2FQuel-incident-de-cybersecurite-affecte-Entrust-depuis-un-mois

@Entrust_Corp Pour autant, selon l'échange partagé par #LockBit, un contact n'aurait été établi que le 29 juin. Sans surprise, il se concentre sur les données volées.

Pourquoi rompre le dialogue après 2 semaines ? Peut-être parce l'inventaire de ce qui avait été volé avait alors pu être pleinement établi. Et que l'attaquant refusait d'en dire + sur le sujet.

Au passage, je me demande si l'interlocuteur côté victime est "native speaker" anglais. Son anglais me semble particulièrement formel, sinon scolaire 🧐

The business goes on for #LockBit. Some of their mirrors are back up and running. Six new victim claims today...