Promotores federais alegaram que uma operação do ransomware Ryuk extorquiu mais de US$ 15 milhões em bitcoins de organizações dos EUA. Um cidadão armênio admitiu ter participado de ataques que prejudicaram centenas de sistemas corporativos e forçaram as vítimas a comprar chaves de descriptografia com criptomoedas.
Hacker de ransomware se declara culpado após esquema de extorsão envolvendo 15 milhões de dólares em bitcoins
ESCRITO POR
PARTILHAR
Principais conclusões
- As autoridades afirmaram que a campanha de crimes cibernéticos arrecadou cerca de 1.610 bitcoins, sendo que somente uma empresa de Michigan transferiu 200 bitcoins após um ataque.
- Enquanto isso, a confissão de culpa exige uma restituição de mais de US$ 1,1 milhão, e a sentença pode resultar em pena de prisão significativa, multas e supervisão.
- Investigadores do FBI, do Departamento de Justiça e das autoridades ucranianas coordenaram esforços, com a sentença prevista após a análise judicial do acordo de confissão.
Ataques de ransomware forçaram empresas americanas a pagar em bitcoins por chaves de descriptografia
Mais de US$ 15 milhões em bitcoins foram transferidos por vítimas dos EUA durante uma campanha do ransomware Ryuk ligada a Karen Serobovich Vardanyan, alegaram os promotores federais. A cidadã armênia de 34 anos, que foi extraditada da Ucrânia, se declarou culpada em 8 de julho por conspiração e fraude informática após admitir seu envolvimento em ataques cibernéticos realizados de novembro de 2019 a abril de 2020.
As vítimas se depararam com arquivos criptografados, estações de trabalho desativadas e dados corporativos inacessíveis depois que os invasores penetraram em suas redes. O grupo espalhou o Ryuk por centenas de servidores e computadores e, em seguida, usou a interrupção resultante para pressionar as organizações a comprar ferramentas de descriptografia com criptomoeda.
Os promotores federais explicaram em um comunicado à imprensa em 9 de julho:
“Como parte do esquema, pagamentos de resgate foram extorquidos das empresas vítimas em troca de chaves de descriptografia para recuperar o acesso aos seus dados. Uma nota de resgate foi colocada nos sistemas de computador exigindo pagamentos em Bitcoin, uma forma de criptomoeda, e fornecia um endereço de e-mail que as vítimas poderiam usar para se comunicar com os cibercriminosos.”
As instruções de pagamento orientavam as organizações afetadas a usar bitcoin e estabeleceram contato por e-mail com os atacantes. Esse processo permitiu que os conspiradores negociassem com as vítimas que haviam perdido o acesso, confirmassem as transferências e fornecessem as chaves destinadas a restaurar o acesso após os fundos chegarem aos endereços controlados pelo grupo.
Entre os alvos corporativos estava uma empresa de Michigan que entregou 200 bitcoins para recuperar o controle de sua rede. O valor do pagamento ultrapassou US$ 1,1 milhão quando concluído. Outros incidentes envolveram uma empresa de tecnologia em Wilsonville, Oregon, e uma escola do Texas atacada em fevereiro de 2020.
Acordo federal define termos de restituição antes da sentença em setembro
Os rendimentos em criptomoedas atribuídos à operação totalizaram aproximadamente 1.610 bitcoins, alegaram os promotores. Os bitcoins arrecadados tinham um valor superior a US$ 15 milhões na época das transações, embora o comunicado à imprensa não tenha fornecido uma lista completa das vítimas, o histórico das carteiras ou a discriminação dos pagamentos associados a ataques individuais.
O grande júri de Portland indiciou Vardanyan em 22 de fevereiro de 2024 por conspiração, fraude informática e extorsão. Seu acordo judicial resolveu as acusações de conspiração e fraude informática, e o acordo exige que ele pague mais de US$ 1,1 milhão em indenização.
Os promotores federais escreveram:
“Vardanyan pode receber uma pena máxima de cinco anos de prisão, multa de US$ 250.000 e três anos de liberdade condicional por conspiração. Ele pode receber uma pena máxima de 10 anos de prisão, multa de US$ 250.000 e três anos de liberdade condicional por fraude informática. Vardanyan será sentenciado em 22 de setembro de 2026 por um juiz de um tribunal distrital dos EUA.”
As possíveis penalidades incluem penas de prisão, multas e liberdade condicional separadas para cada crime. Um juiz de um tribunal distrital dos EUA determinará a sentença em 22 de setembro de 2026, após analisar o acordo de confissão, a obrigação de restituição, as diretrizes federais aplicáveis e outros materiais apresentados antes da audiência.
Este artigo foi traduzido do inglês usando IA. A versão original em inglês é a fonte autorizada; traduções automáticas podem conter imprecisões, especialmente em terminologia jurídica e regulatória.
