Wanneer een criminele bende een PR-afdeling opzet, een bugbountyprogramma lanceert en tattoos van haar merklogo beloont met geld, weet je dat cybercriminaliteit is getransformeerd tot een volwassen industrie. LockBit was jarenlang de marktleider in gijzelsoftware. Met een geolied franchisesysteem, agressieve marketing en meedogenloze afpersing wist het collectief duizenden organisaties wereldwijd stil te leggen.
In februari 2024 kwam er een omslag. Een internationale politiecoalitie onder de naam Operation Cronos drong diep door in de LockBit-infrastructuur. De autoriteiten namen niet alleen servers en decryptiesleutels in beslag, maar publiceerden op LockBits eigen lekportal ook feiten over de identiteit van de kopstukken. Het bleek een vernietigende slag voor het onderlinge vertrouwen binnen de criminele onderwereld.
In dit artikel ontleden we de anatomie van LockBit: van de werking van het Ransomware-as-a-Service verdienmodel en hun groeimodel tot de internationale politieoperatie en verdedigingslessen voor IT-teams.
In het kort: LockBit groeide uit tot de meest actieve ransomware-as-a-service (RaaS) groep ter wereld door een strakke bedrijfsvoering, agressieve marketing en dubbele afpersing. In februari 2024 haalde de internationale rechtshandhaving via Operation Cronos de infrastructuur neer en ontmaskerde de leiding. Hun ondergang legt bloot hoe het criminele verdienmodel werkt en welke concrete verdedigingsmaatregelen organisaties moeten nemen.
Hoe Ransomware-as-a-Service (RaaS) werkt
Moderne ransomware is zelden het werk van één eenzame hacker. Het criminele ecosysteem berust op het bedrijfsmodel van de software-industrie: Ransomware-as-a-Service (RaaS). Zoals bedrijven software afnemen via SaaS, huren cybercriminelen complete aanvalsinfrastructuren via RaaS. Dit verdeelt de taken binnen de criminele keten uiterst efficiënt over gespecialiseerde actoren.
De sleutelrollen in de criminele keten
Binnen een RaaS-organisatie zoals LockBit bestaan er strikt gescheiden rollen:
- De Kernontwikkelaars (Core Developers): Zij schrijven de malware, bouwen het centrale beheerplatform (dashboard) en onderhouden de leksites op het Tor-netwerk. Zij leveren het platform, maar voeren inbraken niet zelf uit.
- De Affiliates (Partners): De uitvoerders op de vloer. Zij huren de infrastructuur, zoeken kwetsbare netwerken, dringen binnen, escaleren rechten, exfiltreren data en voeren de gijzelsoftware uit.
- Initial Access Brokers (IAB’s): Leveranciers van digitale toegang. IAB’s verkopen kant-en-klare netwerktoegang — bijvoorbeeld via gestolen RDP-inloggegevens, gelekte sessiecookies of ongepatchte VPN-gateways.
- Onderhandelaars en Cryptowitwassers: Handelen de communicatie met slachtoffers af via geanonimiseerde portals en wassen ontvangen cryptocurrency (zoals Bitcoin of Monero) wit via mixers en geldezels.
Het verdienmodel: De affiliate-split
Het verdienmodel berust op een commissiestructuur die lijkt op affiliate-marketing. Bij LockBit ontving de affiliate doorgaans 70 tot 80 procent van het losgeld, terwijl de kernontwikkelaars 20 tot 30 procent inhielden als platformfee. Omdat affiliates het meeste operationele risico liepen, trok deze vergoeding veel getalenteerde criminelen aan, waardoor LockBit het populairste RaaS-platform op het darkweb werd.
Wil je meer lezen over hoe ransomware zich heeft ontwikkeld van eenvoudige malware tot deze complexe industrie? Lees dan ons achtergrondartikel over ransomware en wat je ertegen doet.
De opkomst van LockBit: Marketing, snelheid en dubbele afpersing
LockBit dook eind 2019 op onder de naam ‘ABCD ransomware’. De groep ontpopte zich al snel tot een professionele organisatie en bracht achtereenvolgens LockBit 2.0 (LockBit Red) en LockBit 3.0 (LockBit Black) uit, aangevuld met varianten gebaseerd op gelekte code van andere groepen, zoals LockBit Green.
Drie factoren verklaren waarom LockBit de concurrentie won: technische automatisering, meedogenloze afpersing en unieke public relations.
1. Technische snelheid en geautomatiseerde verspreiding
LockBit onderscheidde zich door de snelheid waarmee de software bestanden versleutelde. De ontwikkelaars optimaliseerden hun code voor multithreading en maakten gebruik van gedeeltelijke encryptie, waarbij slechts een deel van elk bestand wordt versleuteld.
Zodra een affiliate administratorrechten kreeg op een domeincontroller, kon de LockBit-executable zichzelf via Group Policy Objects (GPO) of PsExec automatisch uitrollen over verbonden werkstations en servers.
2. Dubbele afpersing via de lekportal
Traditionele ransomware vertrouwde uitsluitend op het blokkeren van toegang. LockBit was een van de pioniers van dubbele afpersing (double extortion).
Voordat bestanden werden versleuteld, exfiltreerden affiliates gigabytes aan vertrouwelijke bedrijfsgegevens. Als het slachtoffer weigerde te betalen, dreigde LockBit deze gevoelige data te publiceren op hun openbare lekportal (de Data Leak Site op Tor). Slachtoffers kregen zo te maken met twee dreigingen: een operationele blokkade én een zwaar imagodrama met mogelijke AVG-boetes.
3. Marketing, PR en het ‘LockBitSupp’-fenomeen
Het meest unieke aspect van LockBit was de agressieve merkbouwing. Waar veel criminele groepen de schaduw opzochten, zocht de woordvoerder van de groep — opererend onder het pseudoniem LockBitSupp — actief de schijnwerpers op.
LockBitSupp was een prominente figuur op darkwebforums zoals XSS en Exploit. Hij gaf interviews aan beveiligingsbloggers, daagde concurrerende bendes uit en beloofde geld aan iedereen die een tattoo van het LockBit-logo liet zetten.
Bovendien introduceerde LockBit als eerste ransomwaregroep een officieel bugbountyprogramma met beloningen voor kwetsbaarheden in hun software. LockBit wilde zich presenteren als het meest betrouwbare en technisch superieure ‘bedrijf’ in de onderwereld.
Deze strategie werkte: affiliates stroomden massaal toe en LockBit werd de meest actieve groep wereldwijd. Voor een breder overzicht van dit soort actoren kun je onze categorie over /dreigingsactoren/ raadplegen, of ons artikel lezen over hoe ShinyHunters datadiefstal en afpersing aanpakt.
Operation Cronos: De internationale genadeslag
Op 19 februari 2024 veranderde de lekportal van LockBit plotseling van aanzien: de pagina toonde een opvallende banner met logo’s van opsporingsdiensten. Operation Cronos was toegeslagen.
Operation Cronos was een geheime, gecoördineerde actie geleid door de Britse NCA en de Amerikaanse FBI, in samenwerking met Europol, de Nederlandse Politie en rechtshandhavers uit negen andere landen.
Hoe de opsporingsdiensten LockBit kraakten
De opsporingsdiensten drongen diep door tot de kern van de LockBit-infrastructuur doordat de leiding steken had laten vallen in hun eigen beveiliging.
Resultaten van de operatie:
- Overname van infrastructuur: Rechtshandhavers namen 34 servers over in onder meer Nederland, Duitsland, Finland, het VK en de VS.
- Inbeslagname van decryptiesleutels: De politie legde beslag op duizenden cryptografische sleutels, waarmee gratis decryptietools werden gebouwd op NoMoreRansom.
- Buitmaken van affiliatedata: Inzicht in het beheerdashboard leverde broncodes, chatlogs, cryptowallets en affiliatelijsten op.
- Psychologische oorlogsvoering: De lekportal bleef online, maar toonde politienieuws, sancties en een aftellende klok naar de ontmaskering van de leiding.
De demaskering van LockBitSupp (Dmitry Khoroshev)
In mei 2024 onthulden de FBI, NCA en het Nederlandse OM de identiteit van LockBitSupp: de Rus Dmitry Yuryevich Khoroshev. Khoroshev werd door de VS aangeklaagd voor afpersing en computerfraude, er werden sancties ingesteld en 10 miljoen dollar beloning uitgeloofd. De mythe van de anonieme leider was definitief doorgeprikt.
De nasleep: Heropleving, verlies van vertrouwen en versplintering
LockBit probeerde na Operation Cronos krampfachtig te laten zien dat ze niet verslagen waren. Khoroshev lanceerde snel een nieuwe leksite en beweerde dat de politie alleen verouderde servers had geraakt. De werkelijkheid in het underground ecosysteem bleek echter weerbarstig.
Verlies van reputatie en vertrouwen
Binnen cybercriminele fora was de schade onherstelbaar. De reputatie van LockBit rustte op de belofte dat hun platform veilig en anoniem was. Nu gebleken was dat opsporingsdiensten maandenlang op de achtergrond hadden meegekeken in het beheerdashboard, durfden affiliates de software niet meer te gebruiken.
Bovendien lekte uit dat LockBitSupp gegevens van affiliates niet goed had beschermd en sommige partners financieel had benadeeld. In de onderwereld is vertrouwen het enige betaalmiddel; toen dat wegviel, stortte de LockBit-franchise in elkaar.
Versplintering van het ransomware-landschap
De val van LockBit leidde tot een ingrijpende versplintering van het landschap:
- Migratie van affiliates: Ervaren affiliates stapten over naar RaaS-groepen zoals RansomHub, BlackBasta of ALPHV/BlackCat-spin-offs.
- Misbruik van gelekte builders: Door een eerder gelekte LockBit 3.0 builder begonnen kleinere groepen hun eigen ransomware te bouwen.
- Puur afpersing zonder encryptie: Criminelen stapten vaker over op datadiefstal zonder bestandsversleuteling om detectie te omzeilen.
Voor meer inzicht in hoe deze ontwikkelingen zich verhouden tot andere dreigingen, verwijzen we naar onze analyse van het cyberdreigingslandschap en de belangrijkste trends.
Lessen voor verdedigers: Hoe maak je je organisatie weerbaar?
De casus LockBit is boeiend als misdaadverhaal, maar voor IT-beheerders bevat het vooral een schat aan praktische lessen. LockBit-affiliates maakten zelden gebruik van onbekende ‘zero-day’ kwetsbaarheden; ze drongen binnen via bekende, vermijdbare lekken. Met de volgende verdedigingspijlers onderbreek je hun aanvalsketen doeltreffend.
1. Back-ups buiten bereik: De 3-2-1 regel en immutability
Ransomware valt aan waar het de meeste pijn doet: je data. Als back-ups gekoppeld zijn aan hetzelfde netwerk als productiesystemen, worden ze als eerste gewist.
Een solide back-upstrategie vereist:
- De 3-2-1 regel: Bewaar minimaal 3 kopieën van je data, op 2 verschillende mediatypen, waarvan 1 kopie op een externe of offline locatie staat.
- Immutable Back-ups: Gebruik onveranderbare opslag (immutable storage) waarbij back-updata gedurende een vastgestelde periode niet kan worden overschreven of verwijderd.
- Regelmatige hersteltests: Test periodiek of je volledige omgevingen vanaf nul kunt herstellen.
Wil je precies weten hoe je dit opzet? Lees onze uitgebreide handleiding over back-ups en de 3-2-1 regel.
2. Strikte netwerksegmentatie en Zero Trust
LockBit-affiliates probeerden na de inbraak altijd zijwaarts door het netwerk te bewegen (lateral movement) naar de domeincontroller. Scheid kantoornetwerken, servers, beheerinterfaces en IoT via firewalls en VLAN’s, en pas Least Privilege en Zero Trust toe.
3. Multi-Factor Authentication (MFA) overal
De meeste incidenten begonnen met gecompromitteerde inloggegevens uit IAB-lekken of phishing. Dwing MFA af op alle externe toegangspunten (VPN, RDP, cloudportals, beheeraccounts) en kies bij voorkeur voor phishing-resistente methoden.
4. Buitengewoon scherp patchbeheer op edge devices
Veel slachtoffers van LockBit worden niet gehackt via een phishende medewerker, maar via ongepatchte randapparatuur (edge devices) zoals firewalls en VPN-concentrators. Installeer beveiligingsupdates voor apparaten die direct aan het internet hangen binnen enkele dagen of uren.
5. Detectie in de vroege fase (Exfiltratie en Living off the Land)
Tussen de eerste inbraak en encryptie zitten vaak dagen of weken waarin affiliates het netwerk verkennen, credentials dumpen en data exfiltreeren. Aanvallers maken hierbij vaak gebruik van legitieme beheertools die al op je systemen aanwezig zijn — een techniek bekend als Living off the Land (LotL) (zoals PowerShell, wmic en PsExec).
Zorg voor actieve monitoring:
- Zet EDR in op alle endpoints.
- Monitor ongewoon dataverkeer naar onbekende externe IP-adressen.
- Sla logbestanden centraal en beveiligd op (SIEM).
Voor kleine organisaties kan het herkennen van de eerste signalen lastig zijn. Bekijk ons artikel over ransomware in een kleine organisatie en hoe je reageert op een netwerkcrisis voor concrete inzichten.
6. Een paraat incidentresponsplan
Elke organisatie moet beschikken over een actueel incidentresponsplan (IR-plan) dat vastlegt wie het crisisteam leidt, welke incidentrespons-partners ingeschakeld worden en hoe communicatie verloopt.
Losgeld betalen: De afwegingen, risico’s en meldplicht
Wanneer bestanden versleuteld zijn en data dreigt te lekken, staan bestuurders voor een duivels dilemma. Het officiële advies van opsporingsdiensten, NCSC en politie is helder: betaal geen losgeld.
Hier zijn zwaarwegende redenen voor:
- Geen garanties: Er is geen garantie dat je een werkende decryptiesleutel ontvangt, of dat gestolen data daadwerkelijk wordt vernietigd.
- Financiering misdaad: Met losgeldbetalingen financier je rechtstreeks toekomstige cyberaanvallen.
- Sanctiewetgeving: Betalen aan gesanctioneerde individuen (zoals Dmitry Khoroshev) kan leiden tot ernstige juridische boetes.
De wettelijke meldplicht: Als er sprake is van een datalek — wat bij dubbele afpersing vrijwel altijd het geval is — ben je onder de AVG wettelijk verplicht om dit binnen 72 uur te melden bij de Autoriteit Persoonsgegevens (AP). Daarnaast is het cruciaal om aangifte te doen bij de politie en melding te maken bij het NCSC.
Mocht je vermoeden dat er sprake is van gecompromitteerde gegevens of PowerShell-misbruik op een werkstation, bekijk dan ook onze specifieke handleiding over wat te doen als er ClickFix-code in PowerShell is geplakt.
Kort samengevat
- Ransomware-as-a-Service (RaaS): LockBit werkte als een geoliede franchise waar kernontwikkelaars de malware boden en affiliates de inbraken uitvoerden tegen een royale winstdeling.
- Agressief merk: Met dubbele afpersing, snelle encryptie, een lekportal, bugbounties en PR-stunts werd LockBit jarenlang de grootste ransomwaregroep ter wereld.
- Operation Cronos: In februari 2024 haalden internationale opsporingsdiensten de infrastructuur neer, buitgemaakten sleutels en ontmaskerden leiders (Dmitry Khoroshev).
- Gefragmenteerd landschap: De val van LockBit leidde tot vertrouwensbreuk in de onderwereld, versplintering van affiliates en een toename van puur chantage op basis van datadiefstal.
- Verdediging vereist basisveiligheid: Goede offline/immutable back-ups, MFA op alle netwerkingangen, snelle patches op randapparatuur en proactieve EDR-monitoring blijven de beste verdediging.
Wat doe je als je organisatie geraakt wordt?
Als je vermoedt dat jouw organisatie slachtoffer is van een ransomware-aanval of dat er malware actief is op het netwerk, telt elke minuut. Volg deze directe stappen:
- Isoleer getroffen systemen direct: Koppel besmette servers en werkstations fysiek los van het netwerk (trek de netwerkkabel eruit of schakel wifi uit). Schakel de apparaten niet uit, want het werkgeheugen (RAM) bevat waardevolle forensics-data.
- Activeer het incidentresponsteam: Schakel direct je interne of externe IT-beveiligingsspecialisten in om de omvang van de inbraak te bepalen.
- Controleer je back-ups: Waarborg dat je back-upomgeving veilig en niet-besmet is voordat je pogingen doet tot herstel.
- Meld het datalek en doe aangifte: Schakel je juridische adviseur in, meld het incident binnen 72 uur bij de Autoriteit Persoonsgegevens en doe aangifte bij de politie.
Raadpleeg bij een acute crisis onze directe eerstehulpartikelen voor stap-voor-stap ondersteuning:
- Als je bestanden al versleuteld zijn: Bestanden vergrendeld door ransomware: wat nu?
- Bij vermoeden van een datalek: Stappenplan datalek: wat te doen bij een vermoeden
- Voor algemene noodhulp bij beveiligingsincidenten: Eerste hulp bij hacks
Verder lezen
- Dreigingsactoren: wie zitten er achter de aanvallen? – de hub van dit cluster
- ShinyHunters: datadiefstal op industriële schaal – de datadieven van deze generatie
- Ransomware uitgelegd: wat het is en wat je doet
- Bestanden vergrendeld door ransomware: wat nu?
- Back-ups: de 3-2-1 regel uitgelegd
- Eerste Hulp Bij Hacks