Инженер, устроивший саботаж в компании ради выкупа в биткойнах, приговорен к тюремному заключению

59-летний Дэниел Райн из Канзас-Сити, штат Миссури, был приговорен 28 сентября в федеральном суде в Трентоне после того, как ранее признал себя виновным в вымогательстве с угрозой нанесения ущерба защищенному компьютеру и в умышленном нанесении ущерба защищенному компьютеру, согласно информации прокуратуры округа Нью-Джерси.

Райн работал инженером по основной инфраструктуре в неуказанной промышленной компании, что давало ему права администратора в отношении её компьютерных систем. В уголовном иске ФБР, поданном в 2024 году, описываются методичные действия по злоупотреблению этим доступом. Следователи заявили, что Райн создал в корпоративной сети скрытую виртуальную машину, защищённую паролем «TheFr0zenCrew!», и использовал её для удалённого доступа к учётной записи администратора.

По словам прокуроров, 25 ноября 2023 года Райн запланировал серию автоматизированных задач, которые должны были быть выполнены позднее в тот же день. Эти команды должны были удалить 13 учётных записей администраторов домена, изменить пароли 301 учётной записи пользователей, изменить пароли локальных администраторов на 254 серверах, а также изменить учётные данные, связанные с более чем 3 200 рабочими станциями сотрудников.

Другие запланированные задачи должны были привести к отключению серверов и компьютеров компании. По словам следователей, все эти действия в совокупности были направлены на то, чтобы лишить компанию доступа к собственным системам и данным.

Доказательства указывали на внутреннюю угрозу

В иске подробно описаны признаки подготовки. За несколько дней до атаки при поисковых запросах, выполненных со скрытой виртуальной машины, встречались такие запросы, как «как изменить пароли администраторов из командной строки», «как удалить учетную запись домена» и «как удаленно выключить компьютер». По словам следователей, аналогичные поисковые запросы были обнаружены на служебном ноутбуке Райна.

Около 16:00 25 ноября сетевые администраторы обнаружили, что их учетные записи были удалены. Примерно через 44 минуты сотрудники получили письмо с требованием выкупа, в котором утверждалось, что все учетные записи ИТ-администраторов были удалены, а резервные копии — стерты. Отправитель пригрозил отключать по 40 дополнительных серверов каждый день в течение 10 дней, если компания не выплатит примерно 20 биткоинов до 2 декабря — на тот момент это составляло около 750 000 долларов, а в настоящее время оценивается почти в 1,67 миллиона долларов.

В ходе расследования специалисты в конечном итоге установили связь между скрытой виртуальной машиной и учетной записью Райна, а также его служебным ноутбуком. Они также обнаружили, что пароль, защищавший адрес электронной почты, с которого было отправлено письмо с требованием выкупа, был «TheFr0zenCrew!» — тот же пароль, что и для скрытой виртуальной машины.