Entwickler der Ransom-Cartel-Ransomware zu 16 Jahren Haft verurteilt

Maksim Silnikau, der Entwickler und Administrator der Ransom-Cartel-Ransomware, wurde wegen seiner Rolle bei Angriffen auf mindestens 18 Unternehmen weltweit zu 16 Jahren Haft verurteilt.

Das US-Justizministerium gab das Strafmaß am 5. August bekannt. Der 40-jährige belarussische Staatsangehörige wurde wegen Verschwörung zur Begehung von Straftaten gegen die Vereinigten Staaten, Verschwörung zum Überweisungsbetrug sowie schweren Identitätsdiebstahls verurteilt.

Nach Angaben der Staatsanwaltschaft griff die Ransom-Cartel-Ransomware zwischen 2021 und 2023 Organisationen in mehreren US-Bundesstaaten sowie in anderen Ländern an. Die Gruppe soll versucht haben, mindestens 5,2 Millionen US-Dollar zu erpressen, während den 18 bekannten Opfern ein Gesamtschaden von mehr als 6,7 Millionen US-Dollar entstand.

Lange Geschichte in Cybercrime-Foren

Nach Angaben des US-Justizministeriums war Silnikau bereits seit mindestens 2005 in russischsprachigen Cybercrime-Foren aktiv.

Er nutzte Berichten zufolge mehrere Online-Aliasse, darunter J.P. Morgan, xxx und lansky. Außerdem war er zwischen 2011 und 2016 Mitglied des Cybercrime-Forums Direct Connection, bevor die Behörden die Plattform nach der Festnahme ihres Administrators schlossen.

Gerichtsunterlagen zufolge begann Silnikau im Mai 2021 mit der Entwicklung der Ransom-Cartel-Ransomware. Anschließend rekrutierte er über Untergrundforen weitere Cyberkriminelle, um sich an den Angriffen zu beteiligen.

Die Gruppe arbeitete nach dem Ransomware-as-a-Service-Modell. Dabei entwickelt und verwaltet eine zentrale Gruppe die Schadsoftware, während angeschlossene Partner die Angriffe auf die Opferorganisationen durchführen.

Partner erhielten Werkzeuge, Zugangsdaten und eine Zahlungsplattform

Silnikau soll seinen Partnern Werkzeuge und Informationen zur Verfügung gestellt haben, die bei den Angriffen eingesetzt wurden. Dazu gehörten gestohlene Zugangsdaten für kompromittierte Systeme sowie Ransomware zur Verschlüsselung der Computer der Opfer.

Außerdem betrieb er eine Website für die Partner, die ihnen Berichten zufolge dabei half, Angriffe zu verwalten, miteinander zu kommunizieren, Lösegeldforderungen auszuhandeln und die Erlöse nach den Zahlungen der Opfer zu verteilen.

Nach Angaben der Staatsanwaltschaft spielte Silnikau eine zentrale Rolle innerhalb der gesamten Operation. Er soll Partner rekrutiert, mit sogenannten Initial Access Brokern zusammengearbeitet haben, die den Zugang zu Unternehmensnetzwerken verschafften, mit den Opfern kommuniziert und Lösegeldzahlungen abgewickelt haben.

Die Behörden erklärten außerdem, dass er Lösegeldzahlungen über Kryptowährungs-Mixer schleuste, um die Herkunft der Gelder schwerer nachvollziehbar zu machen.

Ransom-Cartel-Angriffe verursachten langanhaltende Störungen

Zwischen 2021 und 2023 griffen mit Ransom Cartel verbundene Partner mindestens 18 Unternehmen weltweit an. Zu den bekannten Opfern gehörten Organisationen in Kalifornien, New York und Nebraska.

Während der Angriffe stahlen die Täter Unternehmensdaten und verlangten anschließend Geld im Austausch für einen Entschlüsselungsschlüssel oder das Versprechen, die gestohlenen Informationen nicht zu veröffentlichen.

Ein gemeldeter Vorfall im August 2022 legte ein Medizintechnik-Start-up, das robotergestützte Operationstechnologie entwickelte, für zwei Monate lahm.

Bei einer weiteren Angriffswelle im Mai 2023 nahm die Gruppe die Infrastruktur mehrerer Anwaltskanzleien ins Visier. Die Störungen dauerten Berichten zufolge von wenigen Tagen bis zu mehreren Monaten.

Eine Kanzlei zahlte nach fast einem Monat Betriebsunterbrechung ein Lösegeld in Höhe von 125.000 US-Dollar. Eine weitere stellte ihren Betrieb für fast einen Monat ein, bevor sie 300.000 US-Dollar zahlte.

Die Staatsanwaltschaft bezifferte den Gesamtschaden dieser Angriffe auf rund 2,2 Millionen US-Dollar.

Verbindungen zur REvil-Ransomware

Ransom Cartel wurde im Dezember 2021 öffentlich eingeführt und erregte Aufmerksamkeit, weil die Verschlüsselungssoftware Ähnlichkeiten im Quellcode mit der REvil-Ransomware aufwies.

Forscher stellten jedoch fest, dass ihr einige der Verschleierungstechniken von REvil fehlten. Dies führte zu der Theorie, dass ein ehemaliges Kernmitglied von REvil die Software entwickelt haben könnte, ohne Zugriff auf den vollständigen Quellcode der Gruppe zu besitzen.

Silnikau wurde erstmals im Juli 2023 im Rahmen einer internationalen Strafverfolgungsaktion in Spanien festgenommen. Später floh er, während er auf seine Auslieferung an die Vereinigten Staaten wartete.

Die Behörden nahmen ihn schließlich fest, als er Berichten zufolge versuchte, von Polen nach Belarus zu gelangen. Später stimmte er seiner Auslieferung zu und wurde in die Vereinigten Staaten überstellt, wo er sich vor dem Eastern District of Virginia verantworten musste.