Cibercriminoso canadense se declara culpado de ataques “NetWalker” nos EUA

Se você é um Pocast de segurança nua ouvinte, você deve se lembrar, em março de 2022, que falou sobre um cibercriminoso condenado do Canadá chamado Sebastien Vachon-Desjardins.

Segundo todos os relatos, ele fazia parte de várias gangues chamadas de Ransomware-as-a-Service (RaaS), como REvil e NetWalker, onde os verdadeiros invasores de ransomware atuam como “afiliados” dos principais criadores de ransomware, em troca de entregar acima de um corte de 30% semelhante ao da AppStore ou do Google Play em cada pagamento de chantagem que eles extorquem.

Simplificando, os principais membros da gangue criam as amostras de malware, executam os servidores darkweb que lidam com as “negociações” com as vítimas e coletam os pagamentos de extorsão…

…enquanto os afiliados cuidam da invasão das redes das vítimas, mapeando-as e preparando o ataque final, no qual o maior número possível de computadores na rede terá seus dados embaralhados ao mesmo tempo.

A “teoria empresarial”, se assim podemos chamar, é que, ao receberem 30% de cada ataque bem-sucedido, os principais criminosos tornam-se, de facto, extremamente ricos, mas mantêm-se discretos, longe dos holofotes da invasão de redes.

Ao mesmo tempo, ao entregar 70% aos seus “afiliados”, encorajam esses co-conspiradores a tornar cada ataque o mais debilitante possível, aumentando potencialmente o montante que as vítimas podem, em última análise, ser forçadas a pagar para que o seu negócio volte a funcionar.

SAIBA MAIS SOBRE BUSTS RECENTES DE MALWARE (PRIMEIRA SEÇÃO)

O fundo

Vachon-Desjardins foi funcionário do governo federal na região da capital canadense (ele vem de Gatineau, em Quebec, do outro lado do rio da capital federal, Ottawa, em Ontário).

Ele parece ter decidido que ingressar no submundo do crime cibernético seria muito mais lucrativo do que seu trabalho no governo, e parece que isso realmente aconteceu. acumular uma pequena fortuna em ganhos ilegais…

…até ser identificado, preso e processado no Canadá.

Depois de ser condenado a quase sete anos de prisão no Canadá, ele foi extraditado para Tampa, Flórida, nos EUA, para enfrentar quatro acusações federais lá:

• Conspiração para cometer fraude informática
• Conspiração para Cometer Fraude Eletrônica
• Danos intencionais a um computador protegido
• Transmitindo uma demanda relacionada a danos a um computador protegido

A escolha de Tampa para seu julgamento foi porque uma vítima conhecida de um de seus ataques de ransomware “NetWalker” está baseada lá.

Vachon-Desjardins já se declarou culpado de todas as quatro acusações, com o acordo de confissão (obrigado ao The Register por enviar uma cópia do documento judicial) explicando:

O NetWalker Ransomware era um tipo específico de software malicioso (malware) usado para comprometer e restringir o acesso à rede de computadores da vítima, em um esforço para extorquir um resgate. Os conspiradores usaram o NetWalker não apenas para criptografar os dados das vítimas, mas também usaram o malware para roubar dados confidenciais das vítimas. Se a vítima não pagasse o resgate, os conspiradores recusar-se-iam a desencriptar os dados da vítima e publicariam os dados confidenciais roubados online. Os dados roubados eram frequentemente publicados em um site dark web chamado “NetWalker Blog”, que existia com o objetivo principal de facilitar a publicação de dados de vítimas roubadas.

O NetWalker operava como ransomware como serviço (“RaaS”), apresentando desenvolvedores e afiliados baseados na Rússia que residiam em todo o mundo. No modelo RaaS, os desenvolvedores eram responsáveis ​​por criar e atualizar o ransomware e disponibilizá-lo aos afiliados. Os afiliados foram responsáveis ​​por identificar e atacar vítimas de alto valor com o ransomware. Depois que a vítima paga, os desenvolvedores e afiliados dividem o resgate. Sebastien Vachon-Desjardins foi um dos afiliados mais prolíficos do NetWalker Ransomware.

SophosLabs analisou detalhadamente o ransomware NetWalker, graças a um estoque de arquivos recuperado pela nossa equipe de resposta a ameaças durante uma investigação de incidente de ransomware em 2020:

O acordo judicial também observa que:

Por volta de 27 e 28 de janeiro de 2021, a Polícia Montada Real Canadense executou mandados de busca na casa de Vachon-Desjardins e em cofres mantidos por Vachon-Desjardins no National Bank, Gatineau, Quebec.

Durante essas buscas, as autoridades apreenderam, entre outros bens, todos os bitcoins contidos na carteira BTC 3Pxki6pFFKC12YSn8JtDs3ZrEg3pFTHnHd do réu.

Este bitcoin apreendido foi derivado principalmente de fundos de resgate pagos por vítimas de ataques do NetWalker Ransomware.

O valor apreendido foi pouco menos de BTC 720, valendo cerca de US$ 23 milhões no início de 2021, e ainda vale cerca de US$ 14 milhões hoje.

Isso não foi tudo, no entanto, com o documento judicial afirmando:

As autoridades policiais identificaram e apreenderam cópias do servidor que operava como backend, ou servidor interno, do NetWalker Tor Panel e do NetWalker Blog. Este servidor continha informações transacionais detalhadas sobre os desenvolvedores e afiliados do NetWalker. Os registros transacionais revelaram que durante o curso da conspiração, aproximadamente 100 afiliados estavam ativos e as vítimas pagaram aproximadamente 5058 bitcoins em resgates (um total aproximado de US$ 40 milhões com base no valor do bitcoin no momento de cada transação).

Esses registros também vincularam Vachon-Desjardins à extorsão bem-sucedida de aproximadamente 1864 bitcoins em resgates (um total aproximado de US$ 21.5 milhões com base no valor do bitcoin no momento de cada transação) de dezenas de empresas vítimas em todo o mundo, incluindo [o vítima em Tampa, Flórida].

Qual o proximo?

Como Chester Wisniewski colocá-lo no podcast de março de 2022:

Sebastien está temporariamente “emprestado” aos americanos, para que possam puni-lo, mas quando ele voltar ainda terá que enfrentar a pena aqui no Canadá.

O crime de fraude eletrônica por si só acarreta uma pena máxima de 20 anos, mas presumimos que o tribunal imporá uma pena mais leve devido à assinatura do acordo judicial.

O acordo de confissão deixa claro que “[o] réu está se declarando culpado porque [ele] é de fato culpado.”

E parte do acordo inclui que o “o réu concorda em cooperar plenamente com os Estados Unidos na investigação e acusação de outras pessoas, [...incluindo] uma divulgação completa e completa de todas as informações relevantes, incluindo a produção de todos e quaisquer livros, papéis, documentos e outros objetos em poder do réu posse ou controle.”

Em outras palavras, espera-se agora que Vachon-Desjardins conte tudo e denuncie seus ex-amigos no cenário do ransomware.

O que fazer?

Para obter mais informações sobre o feio mundo do ransomware, como ele funciona e como se proteger contra ele, por que não conferir nossas pesquisas sobre o estado do ransomware em 2021 e 2022?

---