Kanadisk nettkriminell erkjenner seg skyldig i "NetWalker"-angrep i USA

Hvis du er en Naken Security Pocast lytter, du husker kanskje, tilbake i mars 2022, at vi snakket om en dømt nettkriminell fra Canada ved navn Sebastien Vachon-Desjardins.

Etter alt å dømme var han en del av flere såkalte Ransomware-as-a-Service (RaaS)-gjenger, som REvil og NetWalker, der de faktiske løsepengeangriperne fungerer som "tilknyttede selskaper" for kjernen ransomware-skaperne, mot at de blir levert over en AppStore-lignende eller Google Play-lignende 30 % kutt av hver utpressingsbetaling de presser ut.

Enkelt sagt, kjernegjengmedlemmene lager skadevareprøvene, kjører darkweb-serverne som håndterer "forhandlingene" med ofrene, og samler inn utpressingsbetalingene...

…mens tilknyttede selskaper håndterer å bryte seg inn i ofrenes nettverk, kartlegge dem og sette opp det siste angrepet der så mange datamaskiner på nettverket som mulig får dataene sine kryptert samtidig.

"Forretningsteorien", hvis vi kan kalle det det, er at ved å ta 30 % av hvert vellykket angrep, blir kjernekriminelle faktisk ekstremt velstående, men holder en lav profil unna det nettverkssprengende rampelyset.

Samtidig, ved å gi 70 % til deres "tilknyttede selskaper", oppmuntrer de disse medsammensvorne til å gjøre hvert angrep så ødeleggende som mulig, og potensielt øke beløpet som ofrene til slutt kan presses inn til å betale for å få virksomheten i gang igjen.

LÆR MER OM NYLIGE MALWARE-BUSTER (FØRSTE DEL)

Bakgrunnen

Vachon-Desjardins hadde vært en føderal regjeringsarbeider i den kanadiske hovedstadsregionen (han kommer fra Gatineau i Quebec, rett over elven fra den føderale hovedstaden Ottawa i Ontario).

Han ser ut til å ha bestemt seg for at det ville være mye mer lukrativt å bli med i cyberkriminalitetens underverden enn regjeringsjobben hans, og det ser ut til at det faktisk gjorde det samle opp en liten formue i ulovlig inntekt...

...til han ble identifisert, arrestert og tiltalt i Canada.

Etter å ha blitt dømt til nesten syv år i et kanadisk fengsel, ble han utlevert til Tampa, Florida i USA, for å møte fire føderale anklager der:

• Konspirasjon for å begå datasvindel
• Konspirasjon for å begå svindel
• Forsettlig skade på en beskyttet datamaskin
• Overføre et krav i forhold til å skade en beskyttet datamaskin

Valget av Tampa for rettssaken hans var fordi et kjent offer for et av hans "NetWalker" løsepengeprogram er basert der.

Vachon-Desjardins har nå erkjent straffskyld på alle fire tiltalepunktene, med påtaleavtale (takk til The Register for å laste opp en kopi av rettsdokumentet) som forklarer:

NetWalker Ransomware var en spesifikk type ondsinnet programvare (skadelig programvare) som ble brukt til å kompromittere og begrense tilgangen til et offers datanettverk i et forsøk på å presse ut løsepenger. Konspiratører brukte NetWalker ikke bare til å kryptere offerdata, men brukte også skadelig programvare for å stjele sensitive data fra ofre. Hvis et offer ikke betalte løsepenger, ville konspiratorer nekte å dekryptere offerdata og publisere de sensitive, stjålne dataene på nettet. De stjålne dataene ble ofte publisert på et mørkt nettsted kalt "NetWalker Blog", som eksisterte med det primære formålet å lette publiseringen av stjålne offerdata.

NetWalker opererte som løsepengevare-som-en-tjeneste ("RaaS"), med Russland-baserte utviklere og tilknyttede selskaper som bodde over hele verden. Under RaaS-modellen var utviklerne ansvarlige for å lage og oppdatere løsepengevaren, og gjøre den tilgjengelig for tilknyttede selskaper. Tilknyttede selskaper var ansvarlige for å identifisere og angripe ofre med høy verdi med løsepengevaren. Etter at et offer betalte, delte utviklere og tilknyttede selskaper løsepengene. Sebastien Vachon-Desjardins var en av de mest produktive NetWalker Ransomware-tilknyttede selskaper.

SophosLabs har analysert NetWalker løsepengevare i detalj, takket være en mengde filer gjenopprettet av vårt trusselresponsteam under en ransomware-hendelsesundersøkelse i 2020:

Bønneavtalen bemerker også at:

På eller rundt 27. og 28. januar 2021 utførte Royal Canadian Mounted Police ransakingsordre hjemme hos Vachon-Desjardins og på bankbokser holdt av Vachon-Desjardins ved National Bank, Gatineau, Quebec.

Under disse søkene beslagla politiet, blant andre eiendeler , all bitcoin i tiltaltes BTC-lommebok 3Pxki6pFFKC12YSn8JtDs3ZrEg3pFTHnHd.

Denne beslaglagte bitcoin ble først og fremst hentet fra løsepenger betalt av ofre for NetWalker Ransomware-angrep.

Beløpet som ble beslaglagt var i underkant av BTC 720, verdt rundt 23 millioner dollar tidlig i 2021, og fortsatt verdt 14 millioner dollar i dag.

Det var imidlertid ikke alt, med rettsdokumentet som sa:

Rettshåndhevelse identifiserte og beslagla kopier av serveren som fungerte som backend, eller intern-vendt, server for NetWalker Tor Panel og NetWalker Blog. Denne serveren inneholdt detaljert transaksjonsinformasjon om NetWalker-utviklerne og tilknyttede selskaper. Transaksjonsregistrene avslørte at i løpet av konspirasjonen hadde omtrent 100 tilknyttede selskaper vært aktive, og ofrene hadde betalt omtrent 5058 bitcoin i løsepenger (omtrent totalt USD 40 millioner basert på verdien av bitcoin på tidspunktet for hver transaksjon).

Disse postene knyttet også Vachon-Desjardins til den vellykkede utpressingen av omtrent 1864 bitcoin i løsepenger (omtrent totalt USD 21.5 millioner basert på verdien av bitcoin på tidspunktet for hver transaksjon) fra dusinvis av offerselskaper over hele verden, inkludert [ offer i Tampa, Florida].

Hva nå?

Som Chester Wisniewski sett det i podcasten for mars 2022:

Sebastien er midlertidig "utlånt" til amerikanerne, så de kan straffe ham, men når han kommer tilbake, må han fortsatt møte straffen sin her i Canada.

Forbrytelsen av wire svindel alene har en maksimumsstraff på 20 år, men vi antar at retten vil ilegge en mildere straff på grunn av underskriftsavtalen.

Bråavtalen gjør det klart det "[den] tiltalte erkjenner straffskyld fordi [han] faktisk er skyldig."

Og en del av avtalen inkluderer at "tiltalte samtykker i å samarbeide fullt ut med USA i etterforskningen og rettsforfølgelsen av andre personer, [...inkludert] en fullstendig og fullstendig avsløring av all relevant informasjon, inkludert produksjon av alle bøker, papirer, dokumenter og andre gjenstander i tiltaltes besittelse eller kontroll."

Med andre ord, Vachon-Desjardins forventes nå å søle bønner, og rote ut sine tidligere kompiser i løsepengevare-scenen.

Hva gjør jeg?

For ytterligere innsikt i den stygge verdenen av løsepengevare, hvordan det fungerer og hvordan du beskytter deg mot det, hvorfor ikke sjekke ut våre State of Ransomware-undersøkelser fra 2021 og 2022?

---