Ingenieur die zijn werkgever saboteerde voor bitcoin-losgeld krijgt gevangenisstraf

Daniel Rhyne, 59, uit Kansas City, Missouri, werd op 28 september veroordeeld door de federale rechtbank in Trenton, nadat hij eerder schuldig had gepleit aan afpersing waarbij hij dreigde een beveiligde computer te beschadigen en aan het opzettelijk beschadigen van een beveiligde computer, aldus het Openbaar Ministerie van het district New Jersey.

Rhyne werkte als kerninfrastructuuringenieur voor het niet nader genoemde industriële bedrijf, waardoor hij beheerdersrechten had over de computersystemen van het bedrijf. Een in 2024 door de FBI ingediende strafrechtelijke aanklacht beschrijft een methodische poging om misbruik te maken van die toegang. Onderzoekers verklaarden dat Rhyne een verborgen virtuele machine op het bedrijfsnetwerk had gecreëerd – beveiligd met het wachtwoord „TheFr0zenCrew!“ – en deze gebruikte om op afstand toegang te krijgen tot een beheerdersaccount.

Op 25 november 2023, zo aldus de aanklagers, plande Rhyne een reeks geautomatiseerde taken die later die dag moesten worden uitgevoerd. De opdrachten zouden 13 domeinbeheerdersaccounts verwijderen, de wachtwoorden van 301 gebruikersaccounts wijzigen, lokale beheerderswachtwoorden aanpassen die van invloed waren op 254 servers, en inloggegevens wijzigen die gekoppeld waren aan meer dan 3.200 werkstations van medewerkers.

Andere geplande taken zouden de bedrijfsservers en -computers uitschakelen. Onderzoekers zeiden dat de gecombineerde acties bedoeld waren om het bedrijf de toegang tot zijn eigen systemen en gegevens te ontzeggen.

Bewijs wees op een interne dreiging

In de aanklacht werden aanwijzingen voor voorbereidingen gedetailleerd beschreven. Dagen voor de aanval omvatten zoekopdrachten die vanaf de verborgen virtuele machine werden uitgevoerd, onder meer vragen over hoe beheerderswachtwoorden via een opdrachtregel kunnen worden gewijzigd, hoe een domeinaccount kan worden verwijderd en hoe een computer op afstand kan worden uitgeschakeld. Soortgelijke zoekopdrachten werden aangetroffen op de bedrijfslaptop van Rhyne, aldus de onderzoekers.

Op 25 november omstreeks 16.00 uur ontdekten netwerkbeheerders dat hun accounts waren verwijderd. Ongeveer 44 minuten later ontvingen medewerkers een afpersingsmail waarin werd beweerd dat alle IT-beheerdersaccounts waren verwijderd en back-ups waren gewist. De afzender dreigde gedurende tien dagen elke dag nog eens 40 servers uit te schakelen, tenzij het bedrijf vóór 2 december ongeveer 20 bitcoin zou betalen – destijds ter waarde van ongeveer 750.000 dollar, en momenteel geschat op bijna 1,67 miljoen dollar.

Onderzoekers konden de verborgen virtuele machine uiteindelijk koppelen aan het account en de bedrijfslaptop van Rhyne. Ze ontdekten ook dat het wachtwoord dat het afpersings-e-mailadres beveiligde „TheFr0zenCrew!“ was – hetzelfde wachtwoord dat voor de verborgen virtuele machine werd gebruikt.