Руски хакер получи 2 години затвор за управление на ботнета TA551 и атаки с рансъмуер

Министерството на правосъдието на САЩ (DoJ) обяви, че руски гражданин е осъден на две години затвор за управление на ботнет, използван за стартиране на опустошителни атаки с рансъмуер срещу американски компании.

40-годишният Иля Ангелов от Толияти, Русия, освен лишаването от свобода, ще трябва да плати и глоба в размер на 100 000 долара. Ангелов, известен в интернет с псевдонимите „milan“ и „okart“, е сочен за съуправител на базираната в Русия киберпрестъпна група, известна като TA551. Тази групировка е разпознавана в индустрията и под имената ATK236, G0127, Gold Cabin, Hive0106, Mario Kart, Monster Libra и Shathak. Дейността ѝ е била най-активна в периода между 2017 и 2021 година.

Механизмът на ботнета: От спам до продажба на достъп

Според Министерството на правосъдието, групата на Ангелов е изградила мащабна мрежа от компрометирани компютри (ботнет) чрез разпространение на заразени с малуер файлове, прикачени към спам имейли. Ангелов и неговият съуправител са монетизирали тази мрежа, като са продавали достъп до отделните компрометирани компютри, наричани „ботове“, на други престъпни организации.

В меморандума по присъдата се посочва, че групата е разработила специални програми за разпространение на спам и е прецизирала своя малуер, за да заобикаля съвременните инструменти за сигурност. Ангелов е набирал нови членове и е упражнявал надзор върху различните етапи на операцията. Основният им инструмент е бил т.нар. „backdoor“ (задна врата), чрез който злонамерен софтуер е бил качван директно на компютрите на жертвите.

Милиони долари от киберрекет

Основната цел на атаките е била препродажбата на достъпа на други криминални групи, които са го използвали за схеми за изнудване с рансъмуер. Ето някои от най-значимите сътрудничества на TA551:

Сътрудничество с BitPaymer: Между август 2018 г. и декември 2019 г. TA551 е осигурявала достъп на групата за рансъмуер BitPaymer. Това е позволило на електронната банда да зарази 72 американски корпорации, което е довело до плащания за откуп на стойност над 14,17 милиона долара.

Връзка с IcedID: Операторите на малуера IcedID са платили на групата на Ангелов над един милион долара в края на 2019 г. или началото на 2020 г., за да придобият достъп до ботнета. Смята се, че това партньорство е разцъфтяло след разпадането на групата BitPaymer и е продължило до август 2021 г., според данни на ФБР.

Други партньорства: През ноември 2021 г. компанията Cybereason разкри, че операторите на троянския кон TrickBot са се обединили с TA551 за разпространение на Conti Ransomware. Същия месец Френският екип за реагиране при компютърни инциденти (CERT-FR) съобщи, че бандата Lockean е използвала услугите на TA551 след разбиването на ботнета Emotet в началото на 2021 година.

Ясно послание към киберпрестъпниците

„Чуждестранни киберпрестъпници като този подсъдим се прицелват в американски граждани и корпорации,“ заяви в изявление щатският прокурор Джером Ф. Горгон-младши. „Техните методи стават все по-сложни, но мотивът им остава същият – да ни ограбват и да ни вредят.“

Присъдата на Ангелов идва само ден след като Министерството на правосъдието обяви наказанието за друг руски гражданин – 26-годишният Алексей Олегович Волков (известен като „chubaka.kor“ и „nets“). Той беше осъден на близо 7 години затвор, след като се призна за виновен, че е действал като брокер на първоначален достъп (IAB) за атаки с рансъмуер Yanluowang срещу осем компании в САЩ в периода юли 2021 г. – ноември 2022 г.

Тези случаи подчертават засилените усилия на международните правоприлагащи органи да пресекат икономиката на киберпрестъпността, която разчита на тясно сътрудничество между разработчици на ботнети и оператори на рансъмуер.