Hacker de ransomware se declara culpado após esquema de extorsão em $15M Bitcoin

Promotores federais alegaram que uma operação de ransomware Ryuk extraiu mais de US$ 15 milhões em bitcoin de organizações dos EUA. Um nacional armênio admitiu participação em ataques que interromperam centenas de sistemas corporativos e obrigaram as vítimas a comprar chaves de descriptografia com criptomoeda.

Principais destaques

• As autoridades disseram que a campanha de crimes cibernéticos coletou aproximadamente 1.610 bitcoin, com uma empresa do Michigan transferindo sozinha 200 bitcoin após um ataque.
• Enquanto isso, a declaração de culpa exige mais de US$ 1,1 milhão em restituição, e a sentença pode resultar em tempo substancial de prisão, multas e supervisão.
• Investigadores do FBI, do Departamento de Justiça e de autoridades ucranianas coordenaram os esforços, com a sentença prevista após a revisão judicial do acordo de declaração de culpa.

Ataques de ransomware forçaram empresas dos EUA a pagar bitcoin por chaves de descriptografia

Mais de US$ 15 milhões em bitcoin passaram de vítimas dos EUA durante uma campanha de ransomware Ryuk ligada a Karen Serobovich Vardanyan, alegaram promotores federais. A armênia de 34 anos, que foi extraditada da Ucrânia, declarou-se culpada em 8 de julho por conspiração e fraude de computador depois de admitir sua participação em ciberataques realizados de novembro de 2019 a abril de 2020.

As vítimas encontraram arquivos criptografados, estações de trabalho desativadas e dados corporativos inacessíveis depois que invasores penetraram em suas redes. O grupo espalhou Ryuk por centenas de servidores e computadores e, em seguida, usou a interrupção resultante para pressionar organizações a comprar ferramentas de descriptografia com criptomoeda.

Promotores federais explicaram em um comunicado à imprensa em 9 de julho:

“Como parte do esquema, pagamentos de resgate foram extorquidos de empresas vítimas em troca de chaves de descriptografia para recuperar o acesso aos seus dados. Uma nota de resgate foi colocada nos sistemas de computador exigindo pagamentos de resgate em Bitcoin, uma forma de criptomoeda, e forneceu um endereço de e-mail que as vítimas poderiam usar para se comunicar com os cibercriminosos.”

As instruções de pagamento direcionaram as organizações afetadas para o bitcoin e estabeleceram contato por e-mail com os atacantes. Esse processo permitiu que os conspiradores negociassem com vítimas que ficaram sem acesso, confirmassem transferências e fornecessem chaves destinadas a restaurar o acesso depois que os fundos chegassem a endereços controlados pelo grupo.

As empresas-alvo incluíram um negócio no Michigan que entregou 200 bitcoin para recuperar o controle de sua rede. O pagamento excedeu US$ 1,1 milhão quando foi concluído. Outros incidentes envolveram uma empresa de tecnologia em Wilsonville, Oregon, e uma escola no Texas atacada em fevereiro de 2020.

A declaração de culpa federal define os termos de restituição antes da sentença de setembro

Os proventos de criptomoeda atribuídos à operação totalizaram aproximadamente 1.610 bitcoin, alegaram promotores. O BTC coletado tinha valor acima de US$ 15 milhões no momento das transações, embora o comunicado à imprensa não tenha fornecido uma lista completa de vítimas, histórico de carteira nem detalhamento de pagamentos associados a ataques individuais.

Grandes jurados em Portland indiciaram Vardanyan em 22 de fevereiro de 2024 por acusações de conspiração, fraude de computador e extorsão. Sua declaração resolveu as acusações de conspiração e fraude de computador, e o acordo exige que ele forneça mais de US$ 1,1 milhão em restituição.

Promotores federais escreveram:

“Vardanyan enfrenta uma pena máxima de cinco anos de prisão, multa de US$ 250 mil e três anos de liberdade supervisionada por conspiração. Ele enfrenta uma pena máxima de 10 anos de prisão, multa de US$ 250 mil e três anos de liberdade supervisionada por fraude de computador. Vardanyan será sentenciado em 22 de setembro de 2026, pelo juiz de um tribunal distrital dos EUA.”

As possíveis penalidades incluem penas de prisão separadas, multas e liberdade supervisionada para cada delito. Um juiz de tribunal distrital dos EUA determinará a sentença em 22 de setembro de 2026, após revisar o acordo de declaração de culpa, a obrigação de restituição, as diretrizes federais aplicáveis e outros materiais apresentados antes da audiência.