Vue d’ensemble
LockBit est l’un des groupes de rançongiciels les plus prolifiques de l’histoire. Plateforme RaaS complète, elle représentait à son apogée environ 44 % des incidents de rançongiciel dans le monde en 2023 et cible pratiquement tous les secteurs via un modèle d’affiliation où les développeurs maintiennent l’infrastructure et les affiliés mènent les intrusions.
- Premier suivi: 2020-10-21
- Citée dans nos rapports: France · Synthèse du Golfe · Koweït · Maghreb · Oman · Qatar · Turquie
Ce que disent les sources publiques
Alias: LockBit 3.0 (Black) · LockBit 5.0
- Perturbé par l’opération Cronos, dirigée par le Royaume-Uni, en février 2024. Un ressortissant russe présenté comme son chef opérationnel a ensuite été inculpé aux États-Unis, sanctionné, et fait l’objet d’une récompense pouvant atteindre 10 millions de dollars. La marque est revenue sous le nom LockBit 5.0 fin 2025.
- LockBit 5.0 a publié 163 victimes au premier trimestre 2026, redevenant l’une des opérations les plus actives au monde.
Géographie : origine et cibles
Origine estimée: Russie. Opération russophone ; des actes d’accusation publics nomment des ressortissants russes comme dirigeants et affiliés de LockBit. L’attribution est incertaine : à lire comme une évaluation, pas comme une preuve.
Thaïlande1
Royaume-Uni1
Suisse1
Inde1
Vulnérabilités exploitées
| Éditeur | Produit | CVE | Catégorie | Source |
|---|---|---|---|---|
| Apache | Log4j | CVE-2021-44228 | Applications | cisa.gov, secureworks.com, blog.talosintelligence.com, trendmicro.com |
| Atlassian | Confluence Data Center & Server | CVE-2023-22527 | Applications | thedfirreport.com |
| Fortra | GoAnywhere Managed File Transfer | CVE-2023-0669 | Serveurs de transfert de fichiers | censys.io, cisa.gov |
| Windows | NetLogon | CVE-2020-1472 | Microsoft | cisa.gov, cisa.gov, cisa.gov, cisa.gov, cisa.gov, thedfirreport.com, thedfirreport.com, cisa.gov, cisa.gov, welivesecurity.com, cisa.gov, thedfirreport.com, checkpoint.com |
| Windows | Remote Desktop Services | CVE-2019-0708 | Microsoft | cisa.gov |
| Fortinet | FortiOS | CVE-2018-13379 | Équipements de bordure | tenable.com, cisa.gov, cisa.gov, trendmicro.com, cisa.gov |
| F5 | iControl REST | CVE-2021-22986 | Équipements de bordure | cisa.gov |
| Citrix | NetScaler ADC & Gateway | CVE-2023-4966 | Virtualisation | doublepulsar.com, bleepingcomputer.com, therecord.media, secureworks.com, microsoft.com |
Techniques ATT&CK
Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.
Détail des techniques
Accès initial (TA0001)
- T1078 · Valid Accounts: Utilisation d’identifiants compromis achetés à des courtiers d’accès initial ou obtenus par hameçonnage pour s’authentifier dans les environnements des victimes via RDP ou VPN.
- T1190 · Exploit Public-Facing Application: Les opérateurs de LockBit exploitent des vulnérabilités d’applications exposées, dont Citrix Bleed (CVE-2023-4966), Fortinet et d’autres équipements de périmètre, pour obtenir un accès initial.
- T1566 · Phishing: Courriels d’hameçonnage ciblé avec pièces jointes ou liens malveillants pour livrer les premiers chargeurs.
Exécution (TA0002)
- T1047 · Windows Management Instrumentation: WMI est utilisé pour l’exécution à distance des charges utiles sur les hôtes compromis.
- T1053.005 · Scheduled Task/Job: Scheduled Task: Des tâches planifiées sont créées pour l’exécution persistante de la charge utile LockBit et des outils post-compromission.
- T1059.001 · Command and Scripting Interpreter: PowerShell: Des scripts PowerShell servent à déployer les charges utiles du rançongiciel et à exécuter des modules de post-exploitation.
Persistance (TA0003)
- T1547.001 · Boot or Logon Autostart Execution: Registry Run Keys: Les clés Run du registre sont modifiées pour que la charge utile s’exécute au redémarrage du système.
Évasion des défenses (TA0005)
- T1027 · Obfuscated Files or Information: Les charges utiles de LockBit sont packées et obfusquées ; LockBit 3.0 (Black) reprend du code du rançongiciel BlackMatter, avec des techniques anti-analyse supplémentaires.
- T1070.001 · Indicator Removal: Clear Windows Event Logs: Les journaux d’événements sont effacés pour supprimer les preuves forensiques de l’intrusion avant ou après le déploiement du rançongiciel.
- T1562.001 · Disable or Modify Tools: Windows Defender et d’autres outils antivirus/EDR sont désactivés par des commandes PowerShell et des modifications de stratégie de groupe avant le déploiement du rançongiciel.
Accès aux identifiants (TA0006)
- T1003.001 · OS Credential Dumping: LSASS Memory: Mimikatz et des outils sur mesure servent à extraire la mémoire LSASS pour récolter des identifiants et faciliter le déplacement latéral.
- T1110 · Brute Force: Attaques par force brute contre RDP et d’autres services distants pour obtenir des identifiants valides.
Découverte (TA0007)
- T1046 · Network Service Discovery: Des outils d’analyse réseau (Advanced IP Scanner, nmap) servent à énumérer les hôtes, ports ouverts et services dans l’environnement de la victime.
- T1482 · Domain Trust Discovery: Énumération d’Active Directory pour cartographier les approbations de domaine et identifier des cibles de déplacement latéral et de compromission du domaine.
Déplacement latéral (TA0008)
- T1021.001 · Remote Services: Remote Desktop Protocol: RDP est largement utilisé pour se déplacer latéralement dans le réseau de la victime avec des identifiants volés.
- T1021.002 · Remote Services: SMB/Windows Admin Shares: PsExec et les partages administratifs SMB sont exploités pour propager latéralement la charge utile du rançongiciel.
- T1210 · Exploitation of Remote Services: Exploitation de services internes non corrigés pour se déplacer latéralement dans le réseau.
Collecte (TA0009)
- T1560.001 · Archive Collected Data: Archive via Utility: 7-Zip et WinRAR servent à compresser les données volées avant l’exfiltration dans le cadre de la double extorsion.
Exfiltration (TA0010)
- T1048 · Exfiltration Over Alternative Protocol: SFTP et FTP servent à transmettre les données volées vers une infrastructure contrôlée par l’acteur.
- T1567.002 · Exfiltration Over Web Service: Exfiltration to Cloud Storage: Rclone et MEGASync servent à exfiltrer les données des victimes vers des services de stockage cloud avant le chiffrement, selon le modèle de double extorsion.
Commande et contrôle (TA0011)
- T1090.003 · Proxy: Multi-hop Proxy: Tor et d’autres réseaux d’anonymisation servent à masquer l’infrastructure de commande et contrôle.
- T1219 · Remote Access Software: AnyDesk et d’autres outils d’accès distant légitimes sont déployés comme portes dérobées pour un accès de commande et contrôle persistant.
Impact (TA0040)
- T1486 · Data Encrypted for Impact: LockBit utilise AES-256 pour chiffrer les fichiers et RSA-2048 pour protéger les clés. LockBit 3.0 utilise Salsa20 ; une extension propre à chaque victime est ajoutée aux fichiers. Il fonctionne en RaaS avec un programme d’affiliation.
- T1489 · Service Stop: Les services de bases de données, de sauvegarde et de sécurité sont arrêtés avant le chiffrement pour maximiser l’accès aux fichiers et la couverture du chiffrement.
- T1490 · Inhibit System Recovery: Les clichés instantanés et sauvegardes sont supprimés avec vssadmin et wmic pour empêcher la restauration sans payer la rançon.
Outils
Aucun élément recensé dans les sources examinées.
Infrastructure des sites de fuite
| Titre | Type | Adresse (neutralisée) | En ligne à la date du relevé |
|---|---|---|---|
| — | DLS | lockbitkodidilol[.]onion | Non |
Sources et réserves
Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.
Relevé du: 2026-10-11