Hackeador de Ransomware Pleiteia Culpa Após Esquema de Extorsão com $15M Bitcoin

Os procuradores federais alegaram que uma operação de ransomware Ryuk extraiu mais de $15 milhões em bitcoin de organizações dos EUA. Um nacional arménio admitiu participação em ataques que desativaram centenas de sistemas empresariais e forçaram as vítimas a comprar chaves de desencriptação com criptomoeda.

Principais conclusões

• As autoridades disseram que a campanha de cibercrime recolheu aproximadamente 1.610 bitcoin, com uma empresa do Michigan a transferir sozinha 200 bitcoin após um ataque.
• Entretanto, a declaração de culpa exige mais de $1,1 milhões em restituição, enquanto a sentença pode resultar em tempo de prisão significativo, multas e supervisão.
• Investigadores do FBI, do Departamento de Justiça e de autoridades ucranianas coordenaram esforços, com a sentença prevista após a revisão judicial do acordo de declaração.

Ataques de ransomware forçaram empresas dos EUA a pagar bitcoin por chaves de desencriptação

Mais de $15 milhões em bitcoin fluiu de vítimas dos EUA durante uma campanha de ransomware Ryuk associada a Karen Serobovich Vardanyan, alegaram os procuradores federais. O nacional arménio de 34 anos, que foi extraditado da Ucrânia, declarou-se culpado a 8 de julho por conspiração e fraude informática, após admitir a sua participação em ciberataques realizados de novembro de 2019 a abril de 2020.

As vítimas encontraram ficheiros encriptados, estações de trabalho desativadas e dados empresariais inacessíveis depois de intrusos entrarem nas suas redes. O grupo espalhou o Ryuk por centenas de servidores e computadores e, depois, utilizou a disrupção resultante para pressionar as organizações a comprarem ferramentas de desencriptação com criptomoeda.

Os procuradores federais explicaram num comunicado à imprensa de 9 de julho:

“Como parte do esquema, pagamentos de resgate foram extorquidos às empresas vítimas em troca de chaves de desencriptação para recuperar o acesso aos seus dados. Uma nota de resgate foi colocada nos sistemas informáticos exigindo pagamentos de resgate em Bitcoin, uma forma de criptomoeda, e forneceu um endereço de email que as vítimas podiam usar para se comunicar com os cibercriminosos.”

As instruções de pagamento direcionaram as organizações afetadas para o bitcoin e estabeleceram contacto por email com os atacantes. Esse processo permitiu aos conspiradores negociar com vítimas que ficaram bloqueadas, confirmar transferências e fornecer chaves destinadas a restaurar o acesso depois de os fundos atingirem endereços controlados pelo grupo.

Os alvos empresariais incluíam uma empresa do Michigan que entregou 200 bitcoin para recuperar o controlo da sua rede. O pagamento excedeu $1,1 milhões quando foi concluído. Outros incidentes envolveram uma empresa de tecnologia em Wilsonville, Oregon, e uma escola no Texas atacada em fevereiro de 2020.

Declaração federal estabelece termos de restituição antes da sentença de setembro

O produto da atividade atribuído à operação totalizou aproximadamente 1.610 bitcoin, alegaram os procuradores. O BTC recolhido tinha um valor acima de $15 milhões no momento das transações, embora o comunicado não apresentasse uma lista completa de vítimas, histórico de carteiras, nem uma decomposição dos pagamentos associados a ataques individuais.

Grandes júris em Portland indiciaram Vardanyan em 22 de fevereiro de 2024, por acusações de conspiração, fraude informática e extorsão. A sua declaração de culpa resolveu as acusações de conspiração e fraude informática, e o acordo exige que ele forneça mais de $1,1 milhões em restituição.

Os procuradores federais escreveram:

“Vardanyan enfrenta uma pena máxima de cinco anos de prisão, uma multa de $250.000 e três anos de liberdade supervisionada por conspiração. Enfrenta uma pena máxima de 10 anos de prisão, uma multa de $250.000 e três anos de liberdade supervisionada por fraude informática. Vardanyan será sentenciado em 22 de setembro de 2026, por um juiz de um tribunal distrital dos EUA.”

As potenciais penalidades incluem penas de prisão separadas, multas e liberdade supervisionada para cada infração. Um juiz de um tribunal distrital dos EUA determinará a sentença em 22 de setembro de 2026, após rever o acordo de declaração de culpa, a obrigação de restituição, as diretrizes federais aplicáveis e outros materiais apresentados antes da audiência.