Un pirate informatique auteur d'une attaque par ransomware plaide coupable après une affaire d'extorsion de 15 millions de dollars en bitcoins

Des attaques par ransomware ont contraint des entreprises américaines à payer en bitcoins pour obtenir des clés de déchiffrement

Plus de 15 millions de dollars en bitcoins ont été versés par des victimes américaines lors d’une campagne de ransomware Ryuk liée à Karen Serobovich Vardanyan, ont affirmé les procureurs fédéraux. Ce ressortissant arménien de 34 ans, extradé d’Ukraine, a plaidé coupable le 8 juillet de complot et de fraude informatique après avoir reconnu son implication dans des cyberattaques menées de novembre 2019 à avril 2020.

Les victimes se sont retrouvées face à des fichiers chiffrés, des postes de travail hors service et des données d’entreprise inaccessibles après que des intrus ont pénétré dans leurs réseaux. Le groupe a propagé Ryuk sur des centaines de serveurs et d’ordinateurs, puis a profité des perturbations qui en ont résulté pour faire pression sur les organisations afin qu’elles achètent des outils de déchiffrement en cryptomonnaie. Les procureurs fédéraux ont expliqué dans un communiqué de presse du 9 juillet :

« Dans le cadre de ce stratagème, des rançons ont été extorquées aux entreprises victimes en échange de clés de déchiffrement leur permettant de retrouver l’accès à leurs données. Une note de rançon a été placée sur les systèmes informatiques, exigeant le paiement d’une rançon en bitcoins, une forme de cryptomonnaie, et fournissant une adresse e-mail que les victimes pouvaient utiliser pour communiquer avec les cybercriminels. »

Les instructions de paiement orientaient les organisations touchées vers le bitcoin et établissaient un contact par e-mail avec les attaquants. Ce processus permettait aux conspirateurs de négocier avec les victimes privées d’accès, de confirmer les virements et de fournir les clés destinées à rétablir l’accès une fois que les fonds avaient atteint les adresses contrôlées par le groupe.

Parmi les entreprises ciblées figurait une société du Michigan qui a versé 200 bitcoins pour reprendre le contrôle de son réseau. Le montant total du paiement s’élevait à plus de 1,1 million de dollars. D’autres incidents ont concerné une entreprise technologique de Wilsonville, dans l’Oregon, ainsi qu’une école du Texas attaquée en février 2020.

Un accord de plaidoyer fédéral fixe les conditions de restitution avant le prononcé de la peine en septembre

Les procureurs ont affirmé que les gains en cryptomonnaie attribués à cette opération s’élevaient à environ 1 610 bitcoins. La valeur des BTC collectés dépassait les 15 millions de dollars au moment des transactions, bien que le communiqué de presse n’ait fourni ni liste complète des victimes, ni historique des portefeuilles, ni ventilation des paiements associés aux attaques individuelles.

Le 22 février 2024, le grand jury de Portland a mis Vardanyan en accusation pour complot, fraude informatique et extorsion. Son plaidoyer a permis de régler les chefs d’accusation de complot et de fraude informatique, et l’accord l’oblige à verser plus de 1,1 million de dollars à titre de dédommagement. Les procureurs fédéraux ont écrit :

« Vardanyan encourt une peine maximale de cinq ans de prison, une amende de 250 000 dollars et trois ans de liberté surveillée pour complot. Il encourt une peine maximale de dix ans de prison, une amende de 250 000 dollars et trois ans de liberté surveillée pour fraude informatique. La peine de M. Vardanyan sera prononcée le 22 septembre 2026 par un juge d’un tribunal fédéral de première instance. »

Les sanctions potentielles comprennent des peines d’emprisonnement distinctes, des amendes et des périodes de liberté surveillée pour chaque infraction. Un juge d’un tribunal fédéral de district prononcera la peine le 22 septembre 2026, après avoir examiné l’accord de plaidoyer, l’obligation de restitution, les lignes directrices fédérales applicables et les autres documents présentés avant l’audience.