KillSec-ransomware slået ud – tre anholdt og teenager mistænkt

Nedlukningen af KillSec-ransomware har forstyrret en angivelig cyberkriminel operation, der forbindes med omkring 1.000 formodede angreb verden over. Myndighederne beslaglagde gruppens infrastruktur og foretog foreløbige anholdelser af tre mistænkte under en koordineret aktion den 30. september.

Ifølge Europol mener efterforskerne, at en 16-årig fungerede som gruppens hovedoperatør. Samtidig sikrede politiet mindst 110 terabyte stjålne data som en del af den tyskledede efterforskning, kendt som Operation KillSwitch.

Politiet beslaglægger fem servere og lukker lækageside

Efterforskere i Hamborg sporede KillSecs infrastruktur og identificerede fem servere, herunder gruppens hovedserver og systemer, der angiveligt indeholdt stjålne oplysninger. Myndighederne lukkede dem efterfølgende ned og overtog kontrollen med gruppens lækageside på det mørke web.

Siden viser nu en meddelelse om politiets beslaglæggelse. Tidligere skal gruppen have brugt den til at presse ofre ved at true med at offentliggøre fortrolige filer.

Derudover ransagede betjente otte ejendomme i Grækenland, Rumænien, Spanien og Storbritannien. Myndighederne sagde, at sikringen af de stjålne data havde til formål at forhindre yderligere uautoriseret adgang.

Den bredere operation involverede ti lande med støtte fra Europol, Eurojust, Bitdefender og Group-IB.

Efterforskning identificerer formodede teenageoperatører

Efterforskningen begyndte i 2025 og afdækkede personer, der mistænkes for at have håndteret administration, softwareudvikling, løsesumsforhandlinger og affiliateaktivitet.

Ud over den angivelige 16-årige administrator identificerede efterforskerne en formodet udvikler, som fyldte 18 år i august 2026. Denne person var derfor stadig mindreårig under nogle af de påståede lovovertrædelser.

Myndighederne identificerede også en formodet forhandler og en affiliate. De tilgængelige oplysninger specificerer dog ikke, hvilke af disse personer der var blandt de tre, som blev foreløbigt anholdt.

Omkring 500 angreb menes at være lykkedes

Efterforskerne mener i øjeblikket, at omkring 500 af de cirka 1.000 formodede angreb lykkedes. De advarede dog om, at disse tal kan ændre sig, efterhånden som de undersøger det beslaglagte bevismateriale.

Mindst 70 formodede angreb involverede organisationer i Tyskland. Af disse havde 18 sager forbindelser til Hamborg.

KillSec har været aktiv siden omkring 2024. Ifølge efterforskerne udnyttede gruppens medlemmer softwaresårbarheder og utilstrækkeligt sikrede internetforbundne enheder og platforme til at trænge ind i virksomhedsnetværk.

Efter at have fået adgang skal angriberne have stjålet følsomme oplysninger og krævet betaling for at holde dem private. Europol siger, at disse afpresningsforsøg genererede betydelige løsesumsbetalinger, selv om organisationen ikke oplyste et samlet beløb.

Beslaglagt bevismateriale kan afsløre flere ofre

Efterforskerne fandt også ud af, at gruppemedlemmer brugte kunstig intelligens til at hjælpe med at udvikle og vedligeholde deres ransomware-infrastruktur. Derudover skal de have brugt AI til at identificere potentielle mål.

Efter nedlukningen af KillSec-ransomware undersøger myndighederne computere, servere og andet materiale, der er blevet beslaglagt. De sporer også formodet kriminelt udbytte, herunder kryptovaluta.

Mens dette arbejde fortsætter, forventer efterforskerne, at bevismaterialet kan afsløre yderligere angreb, ofre og personer med forbindelse til operationen.