Mitglied der Conti-Ransomware-Gruppe zu vier Jahren Haft verurteilt

Ein ukrainischer Staatsbürger wurde wegen seiner Rolle bei Conti-Ransomware-Angriffen zu vier Jahren Haft verurteilt. Die Cybercrime-Operation nahm zwischen 2020 und 2022 Organisationen in den USA und anderen Ländern ins Visier.

Oleksii Oleksiyovych Lytvynenko, 44, war sowohl für Netzwerkeinbrüche als auch für die Entwicklung von Malware verantwortlich. Er war persönlich an Angriffen auf mindestens 12 Unternehmen beteiligt und speicherte Informationen, die von Opfern gestohlen worden waren.

Das Mitglied der Conti-Ransomware-Gruppe entwickelte außerdem schädliche Tools und verschickte bei doppelten Erpressungsangriffen Lösegeldforderungen.

Lytvynenko aus Irland ausgeliefert

Die irische Polizei nahm Lytvynenko im Juli 2023 auf Ersuchen der Vereinigten Staaten fest. Die Behörden lieferten ihn anschließend im Jahr 2025 an die USA aus.

Im Juni 2026 bekannte er sich der Verschwörung zum elektronischen Betrug schuldig. Für die Anklage drohte eine Höchststrafe von 20 Jahren Haft.

Lytvynenko räumte ein, sich der Conti-Operation im September 2021 angeschlossen zu haben. Seine Beteiligung an damit verbundenen doppelten Erpressungsangriffen umfasste jedoch Aktivitäten zwischen 2020 und Juni 2022.

Während dieses Zeitraums drang die Gruppe in die Netzwerke ihrer Opfer ein, stahl Informationen und verschlüsselte Geräte. Anschließend verlangte sie Zahlungen in Bitcoin, um Dateien zu entschlüsseln und die gestohlenen Daten nicht zu veröffentlichen.

Beteiligung an Angriffen auf 12 Unternehmen

Gerichtsunterlagen zeigen, dass Lytvynenko gestohlene Daten von acht Opfern in den USA kontrollierte. Außerdem besaß er Informationen, die von vier Unternehmen in anderen Ländern gestohlen worden waren.

Darüber hinaus verschickte er im Namen der Conti-Gruppe Lösegeldforderungen an die Opfer. In diesen Nachrichten wurden die Organisationen mit dauerhaftem Datenverlust und der Veröffentlichung gestohlener Informationen bedroht.

Das US-Justizministerium erklärte, dass Lytvynenko persönlich mindestens 12 Unternehmen geschädigt habe. Außerdem half er bei der Entwicklung von Tools, die Conti zur Kompromittierung und Erpressung von Organisationen einsetzte.

Seine Arbeit ging über den Umgang mit gestohlenen Dateien hinaus. Das Mitglied der Conti-Ransomware-Gruppe schloss sich einem Team unter der Leitung eines weiteren Mitverschwörers an und entwickelte einen Malware-Loader.

Ein Loader bereitet kompromittierte Systeme auf spätere Phasen eines Angriffs vor. Er kann beispielsweise zusätzliche Schadsoftware herunterladen oder starten, nachdem sich Angreifer ersten Zugriff verschafft haben.

Conti nahm mehr als 150 Millionen Dollar ein

Die Conti-Ransomware-Operation griff Systeme in 47 US-Bundesstaaten, dem District of Columbia und Puerto Rico an. Außerdem traf sie Opfer in 31 anderen Ländern.

Nach Angaben des FBI hatten bekannte Zahlungen von Conti-Opfern bis Januar 2022 die Marke von 150 Millionen Dollar überschritten. Gerichtsunterlagen zufolge nahm die Gruppe während ihrer aktiven Jahre weltweit mehr als 1.000 Opfer ins Visier.

Gesundheitsdienstleister, Behörden und große Unternehmen gehörten zu den prominentesten Zielen. Dadurch entwickelte sich Conti zu einer der schädlichsten Ransomware-Operationen seiner Zeit.

Conti kombinierte Datendiebstahl mit Dateiverschlüsselung, um den Druck auf die Opfer zu erhöhen. Weigerte sich eine Organisation zu zahlen, konnten die Angreifer vertrauliche Informationen auf einer Leak-Seite veröffentlichen.

Conti ging aus der Ryuk-Operation hervor

Conti trat 2020 als Nachfolger der Cybercrime-Gruppe Ryuk in Erscheinung. Die Gruppe unterhielt außerdem enge Verbindungen zu den Betreibern der TrickBot-Malware.

Im Laufe der Zeit entwickelte sich Conti zu einem größeren Cybercrime-Syndikat. Die Organisation kontrollierte mehrere schädliche Operationen, darunter TrickBot und BazarBackdoor.

Die Gruppe geriet jedoch verstärkt unter Druck, nachdem sie nach der russischen Invasion in der Ukraine ihre Unterstützung für Russland erklärt hatte. Kurz darauf veröffentlichte eine unbekannte Person interne Gespräche und andere sensible Informationen aus der Operation.

Die als ContiLeaks bekannt gewordenen Veröffentlichungen enthüllten die interne Struktur und Kommunikation der Gruppe. Gleichzeitig verstärkten Strafverfolgungsbehörden ihre Maßnahmen gegen deren Mitglieder.

Conti stellte seinen öffentlichen Betrieb schließlich 2022 ein. Dennoch wechselten Berichten zufolge viele Mitglieder zu kleineren Ransomware- und Erpressungsgruppen.

Ehemalige Mitglieder schlossen sich anderen Ransomware-Gruppen an

Die Auflösung von Conti beendete die Bedrohung durch seine erfahrenen Betreiber nicht. Ehemalige Mitglieder wechselten Berichten zufolge zu Gruppen wie BlackCat, Black Basta, ZEON, Hive und Quantum.

Weitere damit verbundene Operationen waren BlackByte, Karakurt und die Silent Ransom Group. Die Schließung teilte das Syndikat daher weitgehend in kleinere Einheiten auf, anstatt seine Mitglieder aus der Cyberkriminalität zu verdrängen.

Behörden in mehreren Ländern gehen weiterhin gegen Personen mit Verbindungen zu Conti und TrickBot vor. Die USA und Großbritannien verhängten im Februar 2023 Sanktionen gegen sieben Mitglieder.

Später im selben Jahr verhängten beide Länder Sanktionen gegen neun russische Staatsbürger, die mit den beiden Operationen in Verbindung standen, und erhoben Anklage gegen sie. Die Behörden brachten diese Personen mit Angriffen auf mehr als 900 Opfer weltweit in Verbindung.

Im Mai 2025 identifizierte das deutsche Bundeskriminalamt den mutmaßlichen Anführer der TrickBot- und Conti-Gruppen. Die deutschen Behörden nannten ihn als den russischen Staatsbürger Vitaly Nikolaevich Kovalev, der angeblich das Alias „Stern“ verwendete.

Lytvynenkos vierjährige Haftstrafe stellt eine weitere Strafverfolgungsmaßnahme gegen das zerschlagene Syndikat dar. Der Wechsel ehemaliger Mitglieder zu anderen Gruppen bedeutet jedoch, dass Contis Einfluss in der Ransomware-Landschaft weiterhin spürbar ist.