KillSec-ransomware slås ut – tre gripna och tonåring misstänkt

Nedtagningen av KillSec-ransomware har slagit ut en misstänkt cyberbrottsverksamhet som kopplas till omkring 1 000 misstänkta attacker världen över. Myndigheter beslagtog gruppens infrastruktur och grep preliminärt tre misstänkta under en samordnad insats den 30 september.

Enligt Europol tror utredarna att en 16-åring fungerade som gruppens huvudsakliga operatör. Samtidigt säkrade polisen minst 110 terabyte stulna data som en del av den tyskledda utredningen, känd som Operation KillSwitch.

Polisen beslagtar fem servrar och stänger läckagesajt

Utredare i Hamburg spårade KillSecs infrastruktur och identifierade fem servrar, inklusive dess huvudserver och system som påstås ha innehållit stulen information. Myndigheterna stängde därefter ner dem och tog kontroll över gruppens läckagesajt på dark web.

Sajten visar nu ett meddelande om polisens beslag. Tidigare ska gruppen ha använt den för att pressa offer genom att hota med att publicera konfidentiella filer.

Dessutom genomsökte polisen åtta fastigheter i Grekland, Rumänien, Spanien och Storbritannien. Myndigheterna uppgav att syftet med att säkra de stulna uppgifterna var att förhindra ytterligare obehörig åtkomst.

Den större insatsen omfattade tio länder, med stöd från Europol, Eurojust, Bitdefender och Group-IB.

Utredning identifierar misstänkta tonåriga operatörer

Utredningen inleddes 2025 och avslöjade personer som misstänks ha hanterat administration, mjukvaruutveckling, lösensummeförhandlingar och affiliateverksamhet.

Utöver den påstådda 16-åriga administratören identifierade utredarna en misstänkt utvecklare som fyllde 18 år i augusti 2026. Den personen var därför fortfarande minderårig under några av de påstådda brotten.

Myndigheterna identifierade även en misstänkt förhandlare och en affiliate. Den tillgängliga informationen specificerar dock inte vilka av dessa personer som fanns bland de tre som greps preliminärt.

Omkring 500 attacker tros ha lyckats

Utredarna tror för närvarande att ungefär 500 av de cirka 1 000 misstänkta attackerna lyckades. De varnade dock för att siffrorna kan förändras när de undersöker det beslagtagna bevismaterialet.

Minst 70 misstänkta attacker riktades mot organisationer i Tyskland. Av dessa hade 18 fall kopplingar till Hamburg.

KillSec har varit verksamt sedan omkring 2024. Enligt utredarna utnyttjade dess medlemmar sårbarheter i programvara samt bristfälligt säkrade internetanslutna enheter och plattformar för att ta sig in i företagsnätverk.

Efter att ha fått åtkomst ska angriparna ha stulit känslig information och krävt betalning för att hålla den privat. Europol uppger att dessa utpressningsförsök genererade betydande lösensummebetalningar, men angav ingen totalsumma.

Beslagtagen bevisning kan avslöja fler offer

Utredarna upptäckte också att gruppmedlemmar använde artificiell intelligens för att hjälpa till att utveckla och underhålla sin ransomware-infrastruktur. Dessutom ska de ha använt AI för att identifiera potentiella mål.

Efter nedtagningen av KillSec-ransomware undersöker myndigheterna datorer, servrar och annat material som har återfunnits. De spårar även misstänkta brottsvinster, inklusive kryptovaluta.

Medan arbetet fortsätter förväntar sig utredarna att bevismaterialet kan avslöja ytterligare attacker, offer och personer med koppling till verksamheten.