Un hacker de ransomware se declara culpable tras un plan de extorsión con $15M Bitcoin

Los fiscales federales alegaron que una operación de ransomware Ryuk extrajo más de 15 millones de dólares en bitcoin de organizaciones estadounidenses. Un nacional armenio admitió haber participado en ataques que interrumpieron cientos de sistemas corporativos y obligaron a las víctimas a comprar claves de descifrado con criptomonedas.

Puntos clave

• Las autoridades dijeron que la campaña de ciberdelincuencia recaudó aproximadamente 1.610 bitcoin, y que una empresa de Michigan transfirió sola 200 bitcoin después de un ataque.
• Mientras tanto, la declaración de culpabilidad exige más de 1,1 millón de dólares en concepto de restitución, y la sentencia podría implicar un tiempo sustancial de prisión, multas y supervisión.
• Los investigadores del FBI, el Departamento de Justicia y autoridades ucranianas coordinaron sus esfuerzos, y se espera que la sentencia se produzca tras la revisión judicial del acuerdo de declaración de culpabilidad.

Los ataques de ransomware obligaron a empresas de EE. UU. a pagar Bitcoin por claves de descifrado

Más de 15 millones de dólares en bitcoin fluyeron desde víctimas de EE. UU. durante una campaña de ransomware Ryuk vinculada a Karen Serobovich Vardanyan, según alegaron los fiscales federales. La nacional armenia de 34 años, que fue extraditada desde Ucrania, se declaró culpable el 8 de julio de conspiración y fraude informático después de admitir su participación en ciberataques realizados entre noviembre de 2019 y abril de 2020.

Las víctimas se encontraron con archivos cifrados, estaciones de trabajo deshabilitadas y datos corporativos inaccesibles después de que los intrusos penetraran en sus redes. El grupo extendió Ryuk a través de cientos de servidores y computadoras, y luego utilizó la interrupción resultante para presionar a las organizaciones a comprar herramientas de descifrado con criptomonedas.

Los fiscales federales explicaron en un comunicado de prensa del 9 de julio:

“Como parte del esquema, se extorsionaron pagos de rescate a las empresas víctimas a cambio de claves de descifrado para recuperar el acceso a sus datos. Se colocó una nota de rescate en los sistemas informáticos exigiendo pagos de rescate en Bitcoin, una forma de criptomoneda, y se proporcionó una dirección de correo electrónico que las víctimas podían usar para comunicarse con los cibercriminales.”

Las instrucciones de pago dirigían a las organizaciones afectadas hacia bitcoin y establecían un contacto por correo electrónico con los atacantes. Ese proceso permitió a los conspiradores negociar con las víctimas a las que se les bloqueó el acceso, confirmar las transferencias y proporcionar claves destinadas a restaurar el acceso después de que los fondos llegaran a direcciones controladas por el grupo.

Los objetivos corporativos incluyeron un negocio de Michigan que entregó 200 bitcoin para recuperar el control de su red. El pago superó 1,1 millón de dólares al completarse. Otros incidentes incluyeron una empresa de tecnología en Wilsonville, Oregón, y una escuela de Texas atacada en febrero de 2020.

La declaración federal establece los términos de restitución antes de la sentencia de septiembre

Los ingresos en criptomonedas atribuidos a la operación sumaron aproximadamente 1.610 bitcoin, según alegaron los fiscales. El BTC recaudado tenía un valor superior a 15 millones de dólares en el momento de las transacciones, aunque el comunicado de prensa no ofreció una lista completa de víctimas, historial de billeteras ni un desglose de pagos asociados con ataques individuales.

Los grandes jurados en Portland acusaron a Vardanyan el 22 de febrero de 2024 por cargos de conspiración, fraude informático y extorsión. Su declaración resolvió los cargos de conspiración y fraude informático, y el acuerdo exige que proporcione más de 1,1 millón de dólares en concepto de restitución.

Los fiscales federales escribieron:

“Vardanyan se enfrenta a una sentencia máxima de cinco años de prisión, una multa de 250.000 dólares y tres años de libertad supervisada por conspiración. Se enfrenta a una sentencia máxima de 10 años de prisión, una multa de 250.000 dólares y tres años de libertad supervisada por fraude informático. Vardanyan será sentenciado el 22 de septiembre de 2026, por un juez de un tribunal de distrito de EE. UU.”

Las posibles penas incluyen periodos de prisión por separado, multas y libertad supervisada para cada delito. Un juez de un tribunal de distrito de EE. UU. determinará la sentencia el 22 de septiembre de 2026, después de revisar el acuerdo de declaración de culpabilidad, la obligación de restitución, las directrices federales aplicables y otros materiales presentados antes de la audiencia.