Ingegnere sabota azienda per riscatto in bitcoin, condannato al carcere

Daniel Rhyne, 59 anni, di Kansas City, nel Missouri, è stato condannato il 28 settembre dal tribunale federale di Trenton dopo essersi precedentemente dichiarato colpevole di estorsione con minaccia di danneggiamento di un computer protetto e di danneggiamento intenzionale di un computer protetto, secondo quanto riferito dall’Ufficio del Procuratore degli Stati Uniti per il Distretto del New Jersey.

Rhyne lavorava come ingegnere delle infrastrutture di base per l’azienda industriale non identificata, il che gli conferiva privilegi amministrativi sui suoi sistemi informatici. Una denuncia penale dell’FBI presentata nel 2024 descrive uno sforzo metodico volto a sfruttare tale accesso. Gli investigatori hanno affermato che Rhyne ha creato una macchina virtuale nascosta sulla rete aziendale — protetta dalla password “TheFr0zenCrew!” — e l’ha utilizzata per accedere da remoto a un account amministratore.

Il 25 novembre 2023, secondo i pubblici ministeri, Rhyne ha programmato una serie di attività automatizzate destinate a essere eseguite più tardi quello stesso giorno. I comandi avrebbero cancellato 13 account di amministratore di dominio, modificato le password di 301 account utente, alterato le password degli amministratori locali su 254 server e modificato le credenziali associate a oltre 3.200 postazioni di lavoro dei dipendenti.

Altre attività programmate avrebbero spento i server e i computer dell’azienda. Gli investigatori hanno affermato che l’insieme di queste azioni era finalizzato a impedire all’azienda l’accesso ai propri sistemi e dati.

Le prove indicavano una minaccia interna

La denuncia descriveva in dettaglio i segnali di preparazione. Giorni prima dell’attacco, le ricerche condotte dalla macchina virtuale nascosta includevano query su come modificare le password degli amministratori da riga di comando, eliminare un account di dominio e spegnere un computer da remoto. Ricerche simili sono state rinvenute sul portatile aziendale di Rhyne, hanno affermato gli investigatori.

Verso le 16:00 del 25 novembre, gli amministratori di rete hanno scoperto che i loro account erano stati cancellati. Circa 44 minuti dopo, i dipendenti hanno ricevuto un’e-mail ricattatoria in cui si affermava che tutti gli account degli amministratori IT erano stati cancellati e i backup cancellati. Il mittente minacciava di spegnere altri 40 server al giorno per 10 giorni, a meno che l’azienda non avesse pagato circa 20 bitcoin entro il 2 dicembre — che all’epoca valevano circa 750.000 dollari e attualmente hanno un valore di circa 1,67 milioni di dollari.

Gli investigatori hanno infine collegato la macchina virtuale nascosta all’account di Rhyne e al suo laptop aziendale. Hanno inoltre scoperto che la password che proteggeva l’indirizzo e-mail utilizzato per l’estorsione era “TheFr0zenCrew!”, la stessa password utilizzata per la macchina virtuale nascosta.