CAS D'USAGE: Enquête sur un affilié de Lockbit

Le 20 février, le FBI et la division cybercriminalité de la National Crime Agency (NCA) britannique ont révélé le fruit d'une enquête menée pendant plusieurs années sur le groupe de ransomware Lockbit. À la suite de cette opération, l'individu Ivan Gennadievich Kondratyev, alias « Bassterlord », a été ajouté à la liste SDN de l'OFAC (une liste de sanctions internationales).

Le communiqué officiel nous donne une adresse email appartenant à l'individu, ce qui a incité @fs0c131y de Predicta Lab à tirer le fil de l'enquête en sources ouvertes. Cet article résume donc son fil où l'on voit à quel point Predicta Search peut nous mener loin en partant simplement de cette adresse email.

Enquêtons !

Qui est Bassterlord ?

Selon Jon Di Maggio de Analyst1 :

• Bassterlord est un affilié ransomware qui dirige sa propre équipe, connue sous le nom de National Hazard Agency. À l'origine simple membre junior de l'équipe, il a gravi les échelons au fil du temps pour en devenir aujourd'hui le chef.
• Bassterlord s'est associé à au moins quatre gangs de ransomware : REvil, RansomEXX, Avadon et LockBit.
• Bassterlord est un homme caucasien d'environ 27 ans, né, élevé et vivant à Lougansk, en Ukraine. Il opère sur les forums clandestins russes sous les pseudonymes « Fisheye », « Bassterlord », « Buster » et « National Hazard Agency », qui est aussi le nom de son équipe.

Enquêter avec Predicta Search

Pour commencer, j'ai recherché l'adresse email [email protected] sur predictasearch.com. Cela nous donne accès à de nombreux profils en ligne.

Dans l'onglet des fuites de données du rapport, on voit que son email figure dans une fuite Twitter. Cela nous donne son identifiant Twitter @It9111

L'email figure également dans la fuite 000webhost (2015), qui donne la localisation suivante à Brianka, dans l'oblast de Lougansk, en Ukraine

Il a également un profil ok.ru lié à cette adresse email.
Cela nous donne un nouveau nom d'utilisateur, une date de naissance, une localisation et l'une de ses anciennes écoles.

Pivoter à partir du nom

Un utilisateur portant le même nom que le profil ok.ru a laissé un avis sur une clinique dentaire à Новомосковск.

Le profil ok.ru indique qu'il vit dans le Алексинский район. L'adresse de la clinique dentaire est Россия, Тульская область, Новомосковск, Комсомольская улица, 36/14, 1 этаж.
C'est plutôt proche !

Dans plusieurs fuites, son adresse personnelle est disponible : Россия, Тульская обл, Новомосковский р-н, г Новомосковск, 301664, Маяковского ул, д. 10/2, кв. 59. Et oui, il n'y a que 12 minutes à pied pour aller jusqu'à la clinique dentaire.

C'est pour ça que j'adore l'OSINT ! Sur plusieurs profils en ligne, notre homme a utilisé le nom « Koyerd Uhvwi ». Si vous recherchez ce nom, vous tombez sur cette chaîne Youtube.

Si vous allez dans l'onglet playlists, vous trouverez une vidéo non répertoriée. Regardez qui arbore un joli nouveau tatouage Lockbit !

Contenu embarqué

Après quelques recherches supplémentaires dans les fuites, un utilisateur Twitter sympathique a retrouvé son profil VK qui, bien qu'il soit désormais supprimé, peut être consulté dans ses versions antérieures sur l'archiveur vk.watch. On y trouve de nombreuses informations : son nom et sa date de naissance sont identiques à ceux trouvés précédemment dans les fuites.

On découvre aussi que notre ami cherchait l'amour. Visage, nom, âge et région correspondent à ce que nous avions trouvé précédemment.

Avec l'aide du graphe relationnel de @PredictaLab, nous avons cartographié (presque) toutes les informations trouvées au cours de notre enquête :

Cette courte enquête montre à quel point une simple recherche sur Predicta Search peut permettre d'obtenir des informations, et à quelle vitesse on peut arriver à une vue d'ensemble de l'empreinte numérique qui y est liée.

Essayez-le maintenant !

FIN