Ciberdelincuente canadiense se declara culpable de ataques “NetWalker” en EE.UU.

Si eres un Pocast de seguridad desnuda oyente, puede recordar, en marzo de 2022, que habló sobre un ciberdelincuente convicto de Canadá llamado Sebastien Vachon-Desjardins.

Según todos los informes, formó parte de varias pandillas de los llamados Ransomware-as-a-Service (RaaS), como REvil y NetWalker, donde los atacantes reales del ransomware actúan como "afiliados" para los creadores principales del ransomware, a cambio de entregar por un recorte del 30% similar al de AppStore o Google Play de cada pago de chantaje que extorsionan.

En pocas palabras, los pandilleros principales crean las muestras de malware, ejecutan los servidores de la web oscura que manejan las "negociaciones" con las víctimas y cobran los pagos de extorsión...

…mientras que los afiliados se encargan de irrumpir en las redes de las víctimas, mapearlas y alinear el ataque final en el que la mayor cantidad posible de computadoras en la red tienen sus datos codificados al mismo tiempo.

La "teoría comercial", si podemos llamarla así, es que al tomar el 30% de cada ataque exitoso, los delincuentes principales se vuelven extremadamente ricos, pero mantienen un perfil bajo lejos del centro de atención que rompe la red.

Al mismo tiempo, al entregar el 70% a sus "afiliados", alientan a esos co-conspiradores a hacer que cada ataque sea lo más debilitante posible, aumentando potencialmente la cantidad que las víctimas pueden pagar para que su negocio vuelva a funcionar.

MÁS INFORMACIÓN SOBRE BUSQUEDAS DE MALWARE RECIENTES (PRIMERA SECCIÓN)

El fondo

Vachon-Desjardins había sido un trabajador del gobierno federal en la región de la capital canadiense (viene de Gatineau en Quebec, directamente al otro lado del río desde la capital federal Ottawa en Ontario).

Parece haber decidido que unirse al bajo mundo del cibercrimen sería mucho más lucrativo que su trabajo en el gobierno, y parece que así fue. acumular una pequeña fortuna en ganancias ilegales…

…hasta que fue identificado, arrestado y procesado en Canadá.

Luego de ser sentenciado a casi siete años en una prisión canadiense, luego fue extraditado a Tampa, Florida en los Estados Unidos, para enfrentar cuatro cargos federales ahí:

• Conspiración para cometer fraude informático
• Conspiración para cometer fraude electrónico
• Daño intencional a una computadora protegida
• Transmisión de una demanda en relación con daños a una computadora protegida

La elección de Tampa para su juicio se debió a que una víctima conocida de uno de sus ataques de ransomware “NetWalker” tiene su sede allí.

Vachon-Desjardins ahora se ha declarado culpable de los cuatro cargos, con la acuerdo de culpabilidad (gracias a The Register por cargar una copia del documento judicial) explicando:

El NetWalker Ransomware era un tipo específico de software malicioso (malware) que se usaba para comprometer y restringir el acceso a la red informática de una víctima en un esfuerzo por extorsionar un rescate. Los conspiradores usaron NetWalker no solo para cifrar los datos de las víctimas, sino que también usaron el malware para robar datos confidenciales de las víctimas. Si una víctima no pagaba el rescate, los conspiradores se negarían a descifrar los datos de la víctima y publicarían en línea los datos confidenciales robados. Los datos robados a menudo se publicaban en un sitio web oscuro llamado "NetWalker Blog", que existía con el propósito principal de facilitar la publicación de los datos de las víctimas robadas.

NetWalker operaba como ransomware como servicio ("RaaS"), con desarrolladores y afiliados con sede en Rusia que residían en todo el mundo. Bajo el modelo RaaS, los desarrolladores eran responsables de crear y actualizar el ransomware y ponerlo a disposición de los afiliados. Los afiliados eran responsables de identificar y atacar a las víctimas de alto valor con el ransomware. Después de que una víctima pagó, los desarrolladores y afiliados dividieron el rescate. Sebastien Vachon-Desjardins fue uno de los afiliados de NetWalker Ransomware más prolíficos.

SophosLabs ha analizado en detalle el ransomware NetWalker, gracias a un alijo de archivos recuperado por nuestro equipo de respuesta a amenazas durante una investigación de incidente de ransomware en 2020:

El acuerdo de culpabilidad también señala que:

El 27 y 28 de enero de 2021, o alrededor de esa fecha, la Real Policía Montada de Canadá ejecutó órdenes de allanamiento en la casa de Vachon-Desjardins y en cajas de seguridad en poder de Vachon-Desjardins en el National Bank, Gatineau, Quebec.

Durante estas búsquedas, las fuerzas del orden incautaron, entre otros activos, todos los bitcoins contenidos en la billetera BTC 3Pxki6pFFKC12YSn8JtDs3ZrEg3pFTHnHd del acusado.

Este bitcoin incautado se derivó principalmente de los fondos de rescate pagados por las víctimas de los ataques de NetWalker Ransomware.

La cantidad incautada fue un poco menos de BTC 720, con un valor de alrededor de US $ 23 millones a principios de 2021, y todavía tiene un valor de alrededor de US $ 14 millones en la actualidad.

Sin embargo, eso no fue todo, con el documento judicial que decía:

Las fuerzas del orden público identificaron y confiscaron copias del servidor que funcionaba como backend o servidor interno del NetWalker Tor Panel y el NetWalker Blog. Este servidor contenía información transaccional detallada sobre los desarrolladores y afiliados de NetWalker. Los registros transaccionales revelaron que durante el curso de la conspiración, aproximadamente 100 afiliados habían estado activos y las víctimas habían pagado aproximadamente 5058 bitcoins en rescates (un total aproximado de 40 millones de dólares estadounidenses según el valor de bitcoin en el momento de cada transacción).

Estos registros también vincularon a Vachon-Desjardins con la exitosa extorsión de aproximadamente 1864 bitcoins en rescates (un total aproximado de USD 21.5 millones según el valor de bitcoin en el momento de cada transacción) de docenas de empresas víctimas en todo el mundo, incluidas [the víctima en Tampa, Florida].

¿Qué sigue?

Como Chester Wisniewski ponlo en el podcast de marzo de 2022:

Sebastien está temporalmente "cedido" a los estadounidenses, para que puedan castigarlo, pero cuando regrese, todavía tiene que enfrentar su sentencia aquí en Canadá.

El delito de fraude electrónico solo conlleva una sentencia máxima de 20 años, pero asumimos que el tribunal impondrá una sentencia más leve debido a la firma del acuerdo de culpabilidad.

El acuerdo de culpabilidad deja en claro que “[el] acusado se declara culpable porque [él] es de hecho culpable”.

Y parte del trato incluye que el “El acusado acepta cooperar plenamente con los Estados Unidos en la investigación y el enjuiciamiento de otras personas, [… incluida] una divulgación total y completa de toda la información relevante, incluida la producción de todos los libros, papeles, documentos y otros objetos en poder del acusado. posesión o control”.

En otras palabras, ahora se espera que Vachon-Desjardins derrame los frijoles y delate a sus antiguos amigos en la escena del ransomware.

¿Qué hacer?

Para obtener más información sobre el feo mundo del ransomware, cómo funciona y cómo protegerse contra él, consulte nuestras encuestas sobre el estado del ransomware de 2021 y 2022?

---