Enquête sur le chef de Lockbit

Le 7 mai 2024, l'Office of Foreign Assets Control, en collaboration avec d'autres agences gouvernementales américaines, a révélé plusieurs informations sur le chef de LockBit, Lockbitsupp. Voyons ce que nous pouvons découvrir à son sujet à partir de ces informations.

C'est l'heure de l'OSINT !

Notre point de départ sera la liste des ressortissants spécialement désignés de l'OFAC. Elle nous donne 2 adresses e-mail liées à Lockbitsupp :
— [email protected]
— [email protected]

Grâce à Predicta Search, nous pouvons trouver un compte Github et un compte Notion liés à ces adresses e-mail

Le compte Github est plutôt vide, mais on peut en tirer les informations suivantes :
— Il utilise le nom d'utilisateur sitedev5
— Le compte a été créé le 2020–11–27T11:08:01Z
— Le compte a été mis à jour le 2021–03–26T15:22:38Z

Le compte Notion nous donne un nom : Дмитрий Хорошев.

Toujours grâce à Predicta Search, on peut voir que [email protected] a fuité dans la fuite de données Yandex Food. Cela nous donne un nouveau numéro de téléphone : +79521020220.

Ce numéro de téléphone est utilisé sur Facebook.

Son profil VK ouvert au public est lui aussi lié à ce numéro de téléphone !

Notre ami a également enregistré plusieurs sites avec son e-mail [email protected] :
— http://pra-vo.com/
— http://utepleniedoma.com/
— http://junonasonnic.online

Le numéro de téléphone +79521020220 est lié à son compte Apple, tout comme l'adresse e-mail [email protected].

En pivotant sur sa photo de profil, on peut retrouver son ancien profil VK (supprimé).

Eh oui, cette image de roi était sa photo de profil en 2016 ! Il a également indiqué sa véritable date de naissance (selon la liste SDN), au plus tard le 20/11/2016.

Sur son profil VK actuel, on trouve une ville : Voronezh.

Dmitry est à la tête de Tkaner LLC. Le site http://tkaner.com a lui aussi été enregistré avec l'adresse e-mail [email protected].

Cela nous donne une adresse :
394026, Voronezh region, o. city ​​of Voronezh, Voronezh, Moskovsky Ave., 13/1, premises. V room 3–6.

Oh ! Un utilisateur portant le nom sitedev5, situé à Voronezh, en Russie, a publié un avis sur sa Mercedes-Benz GLE-Class Coupe, accompagné de quelques photos.

On dirait qu'on a maintenant sa plaque d'immatriculation : o570et, et 136 est le code régional de l'oblast de Voronezh.

En recherchant son numéro de téléphone dans des fuites de données russes, on obtient une tonne d'informations.

— Une nouvelle adresse e-mail : [email protected]
— 3 numéros de téléphone (2 nouveaux) : +74732414824, +79521020220, +79673415167

Par exemple, les fuites Yandex Food montrent qu'il avait l'habitude de commander à manger dans cet endroit en 2022 :

Et depuis ici :

Ce numéro de téléphone nous permet également de retrouver ce qui est probablement son ancien compte VK, datant de son adolescence en 2009 (14 ans) :

Ses selfies nous donnent davantage d'informations sur ses activités et ses déplacements passés. Comme on peut le voir ci-dessous, il a servi dans les troupes internes russes lorsqu'il était plus jeune : il porte l'écusson des troupes internes du VV MVD. Selon Wikipedia : « Les troupes internes [..] sont des services de maintien de l'ordre militaires ou paramilitaires, de type gendarmerie. »

Le 30 avril 2018, Dimitry a publié un selfie sur l'un de ses comptes VK. Cette photo a été prise à Sébastopol, à l'emplacement approximatif suivant : 44.601125, 33.526193.

Un autre selfie, publié le 13 mai 2018, près d'un lycée à Sébastopol.

Encore un selfie. Pas de date. Pris à Chersonèse, Sébastopol.

Plus intéressant encore, on trouve de possibles traces de Locksupp qui s'essayait déjà aux ransomwares en 2015. Un utilisateur du forum virusinfo.info nommé dkhoroshev a posté à propos d'un virus Trojan, en partageant les fichiers et le prix de la clé de déchiffrement.

Mais les cyberattaques ne sont peut-être pas son seul hobby, puisque Lockbitsupp, ou un autre utilisateur du pseudonyme sitedev5, a partagé sur un blog russe son intérêt pour la plante d'échinacée ainsi que des astuces pour se débarrasser des mouches. Qui a dit qu'on ne pouvait pas être à la fois un parrain de la cybercriminalité et un passionné de jardinage ?

Conclusion

Pendant la rédaction du fil qui est à l'origine de cette publication, nous avons vu de nombreux commentaires se moquer de la sécurité opérationnelle de Khoroshev, ce qui nous a semblé un peu injuste. Une bonne OPSEC est difficile à tenir, presque impossible même pour le commun des mortels. Comme tout le monde, Khoroshev a grandi avec l'informatique avant que la cybersécurité ne soit dans tous les esprits, et il a fait ce que font tous les adolescents : il a publié des choses en ligne. Ce n'est que plus tard qu'il est devenu le cybercriminel le plus recherché de son époque.