通过电子邮件地址，调查LockBit成员的信息

前言2024年5月7日，美国与英国和澳大利亚一起制裁了31岁的俄罗斯公民德米特里·尤里耶维奇·霍罗舍夫（Dmitry Yuryevich Khoroshev），他被指控是臭名昭著的勒索软件组织LockBit的开发者和管理员。

美国司法部还起诉了霍罗舍夫，并指控他使用Lockbit攻击2000多名受害者，并勒索至少1亿美元的勒索软件费用。其中新泽西州大陪审团指控德米特里·尤里耶维奇·霍罗舍夫被犯有26项罪名。

Lockbit团队成员介绍

根据美国财政部起诉文件，目前共有六名LockBit成员因参与LockBit勒索而被指控：

• 德米特里·尤里耶维奇·霍罗舍夫（Dmitry Yuryevich Khoroshev），LockBit的开发者和管理员，俄罗斯人。

• 伊万·根纳季耶维奇·康德拉季耶夫(Ivan Gennadievich Kondratyev,又称“Basserlord”），1996年4月8日出生于乌克兰，目前国籍俄罗斯。

• 米哈伊尔·帕夫洛维奇·马特维耶夫(Mikhail Pavlovich Matveev)，1992年8月17日出生，俄罗斯人。（又称：Wazawaka”“Boriscelcin”“Uhodiransomwar”）

• 鲁斯兰·马戈梅多维奇·阿斯塔米罗夫(Ruslan Magomedovich Astamirov)，2020年出生，车臣共和国人。2023年5月在亚利桑那州被捕。

• 米哈伊尔·瓦西里耶夫(Mikhail Vasiliev)，1989年出生俄罗斯，目前拥有俄罗斯和加拿大双重国籍，2022年，在加拿大安大略省布拉德福德被拘留，目的等待引渡到美国。

• 阿图尔·拉维列维奇·松加托夫（Artur Ravilevich Sungatov，又称"Sungatov"），1996年1月16日出生在俄罗斯喀山，俄罗斯国籍。

调查成员“Basserlord”

在2024年2月20日，美国联邦调查局(FBI)和英国国家犯罪局(NCA)网络部门公布了他们对勒索软件组织Lockbit进行长达数年调查的结果。并把Basserlord和Sungatov列入到OFAC的国际制裁名单（SDN）里。

国际制裁名单（SDN）文件信息

其中，在发布制裁文件内容里，出现了Basserlord的完整邮件地址，引起了Predicta Lab的情报调查分析师好奇心，从而展开了对Basserlord的电子邮件地址为切入点，作为OSINT本案例练习的调查。

看看此案例通过一个邮件地址，可以带来有关Basserlord哪些新的内容信息？

说明：本文是针对2月20号的制裁名单做的小调查，案例中很多数据在后续基本被删除。本文仅供案例学习使用。

首先，通过在Predictasearch，搜索电子邮件[e-mail]，显示的信息内容如下。在出现的结果页面的数据泄露选项卡里，从而可以看到他的电子邮件关联了Twitter帐号“It9111”这个电子邮件地址，同时也出现在000webhost泄漏数据库中（2015年，免费Web托管公司000Webhost被黑客攻击,泄露了1350万用户信息），通过000webhost数据库中的地址，给出了乌克兰卢甘斯克州布里安卡的位置信息。乌克兰卢甘斯克州布里安卡的地理坐标：48°30'39.6"N 38°40'19.9"E；邮政编码: 94100此外，在俄罗斯ok.ru社交平台上（创建于2006年，Odnoklassniki是一个为俄罗斯和其他前苏联国家的网民提供校友社交网络服务的网站，也是俄罗斯的第一个社交网络,Odnoklassniki网址为ok.ru），有一个与此电子邮件匹配的个人页面资料。
并且提供了一个新的用户名（“Koyerd Uhvwi”）、出生日期、地点和他以前的学校之一。通过对新用户名的信息挖掘，发现一位与Koyerd Uhvwi同名的用户，在有关 Новомосковск牙科诊所的点评，进行了5分好评及内容评论。Koyerd Uhvwi的个人资料显示他住在Aleksinsky district。而牙科诊所地址是Russia,Tula region,Novomoskovsk,Komsomolskaya stree,36/14,1st floor。根据泄露数据库中的信息匹配核对，Koyerd Uhvwi的个人地址是：Russia,RUlitsa Mayakovskogo, 10 корпус 2, 59, Novomoskovsk, Tulskaya oblast', 经过测量，步行大概只需12分钟即可到达牙科诊所。

在多个社交媒体中，使用“Koyerd Uhvwi”这个名字，在YouTube找到了这个频道。其中在频道的播放列表选项卡里，发现一个视频。视频为“看看谁有漂亮的新Lockbit纹身！”【目前该账号及视频已被封】

在对数据进行了更多挖掘后，一位Twitter用户发现了他在Vkontakte（简称“VK”,为俄罗斯及独联体国家最大的社交网站）个人资料，提供了很多的信息：其中他的名字和出生日期与之前在泄密数据库中发现的相同。通过VK上的信息进一步挖掘，发现他在交友Za30平台（俄罗斯交友平台，其中30，此平台主打定位针对30岁以上的男性女性交友）注册，并在个人主页上提供了详细的个人信息介绍。其中有：姓名、照片、职业、身高、体重、爱好（抽烟不喝酒，但不反对喝酒）、居住和收入介绍（有一套公寓，能负担得起各种开支）。其中人脸、姓名、年龄、地区与之前调查到的内容一致。最后，使用PredictaLab关系图的工具，映射在调查过程中发现的所有信息：小结
此案例虽然简短，通过单点从而挖掘并丰富完善目标信息内容，其中还会涉及一些相比全球化而言，地域性比较小众的平台。对于OSINT情报分析工作，不要被所谓自身专业学历等各种框架所限，任何平常所有接触到的任何信息资讯，其实都是沉淀，都会发挥它的价值，只是看会不会熟练应用了。而OSINT开源情报的魅力之一：吸收融合，万物皆用。OSINT情报培训视频案例只有手机一方的电话通话内容，如何定位此人拨打电话时的位置？
美国国防部使用OSINT开源情报进行国防供应链审计【视频案例】如何通过照片或视频中的阴影来计算拍摄时的时间？【视频案例】
没有任何明显信息，情报分析师如何实现地理定位？【视频教学】
情报技巧:如何从面朝下的纸张中提取隐藏的文本信息【视频教学】
利用OSINT还原CIA解密文件截图里的具体情况【视频教学】

调查工具

普利策记者调查海洋报道使用的OSINT工具包一个独一无二的免费开源导弹炮弹资源库OSINT网络情报常用的百款Chrome插件【工具】一款AI智能识别军事坦克和火炮的OSINT工具【情报工具】网络情报专家伊戈尔·贝德罗夫常用的网络情报工具