Policja rozbiła gang ransomware KillSec. Miał nim kierować szesnastolatek

Większość ludzi prawdopodobnie kojarzyłaby gangi ransomware z doświadczonymi profesjonalistami z przestępczości zorganizowanej. Jednak za grupą KillSec, która według śledczych szantażowała firmy i instytucje na całym świecie skradzionymi danymi, stały głównie osoby w wieku dojrzewania, jak podają europejskie służby policyjne. Jej domniemanego szefa, szesnastolatka, zatrzymała hiszpańska policja w ramach międzynarodowej operacji KillSwitch.

Szesnastoletni lider aresztowany w Hiszpanii

Aresztowanie miało miejsce w hiszpańskim Alicante, a zatrzymany jest według tamtejszej policji obywatelem Rumunii. Rzeczniczka Europolu potwierdziła agencji Reuters, że śledczy podejrzewają go o pełnienie roli administratora i głównego operatora grupy.

Policja zatrzymała jeszcze dwóch mężczyzn w wieku około dwudziestu lat, jednego w Wielkiej Brytanii i drugiego w Rumunii. Władze Portoryko już zwróciły się o ekstradycję mężczyzny zatrzymanego w Wielkiej Brytanii, jak podaje Europol. Śledczy zidentyfikowali również domniemanego dewelopera, który w sierpniu skończył dopiero 18 lat, co oznacza, że część przestępczej działalności miał popełnić jeszcze jako nieletni. Nie został jeszcze aresztowany. W grę wchodzą również role negocjatora i tak zwanego partnera (affiliate), który przeprowadzał ataki dla gangu. Poszukiwania kolejnych potencjalnych członków trwają.

Jak atakował KillSec?

Grupa była aktywna mniej więcej od 2024 roku. Według Europolu, dostawała się do systemów ofiar poprzez niezałatane luki w oprogramowaniu i słabo zabezpieczone dostępy, zwłaszcza do pamięci masowej w chmurze. Następnie jej członkowie kopiowali wrażliwe dane wewnętrzne na własne serwery.

Nastąpił szantaż. Gang opublikował nazwy ofiar na swojej stronie w dark webie i zagroził, że ujawni ich dane, jeśli nie zapłacą okupu. Kto nie zapłacił, tego pliki mogły trafić do swobodnego pobrania. W niektórych przypadkach, według Europolu, grupa inkasowała „znaczne” kwoty.

Śledczy odkryli również, że członkowie gangu wykorzystywali sztuczną inteligencję do budowy i utrzymania swojej infrastruktury, a także do typowania potencjalnych ofiar. Właśnie z powodu ryzyka podobnego nadużycia, Google powierzył swój najpotężniejszy model Gemini 4 Argon na razie tylko ekspertom ds. cyberobrony, o czym pisaliśmy kilka dni temu.

Policja zabezpieczyła stronę internetową atakujących i śledzi ich transakcje

Główna akcja miała miejsce 30 września. Policja przeprowadziła osiem przeszukań domów w Hiszpanii, Grecji, Rumunii i Wielkiej Brytanii oraz zabezpieczyła dowody i mienie. Podczas śledztwa pod kontrolę śledczych trafiło pięć kluczowych serwerów, w tym główny serwer grupy oraz maszyny, na których gang przechowywał skradzione dane.

Policja przejęła również stronę internetową, na której gang wystawiał ofiary, i zabezpieczyła na niej co najmniej 110 terabajtów danych, aby nikt inny nie miał do nich dostępu. Odwiedzających domeny grupy zamiast gróźb wita teraz komunikat o zajęciu. Śledczy jednocześnie monitorują przepływy finansowe gangu, w tym kryptowaluty.

Operację prowadził Krajowy Urząd Kryminalny w Hamburgu wraz z hamburską prokuraturą. Zaangażowały się w nią władze z dziesięciu krajów, w tym USA, a także Europol, Eurojust oraz firmy ochroniarskie Bitdefender i Group-IB. Z około tysiąca ataków przypisywanych grupie przez śledczych, co najmniej 70 było skierowanych na cele w Niemczech, a 18 z nich miało bezpośredni związek z Hamburgiem. Jak dotąd policja potwierdziła około 500 udanych ataków, ale liczby te, według niej, mogą się jeszcze zmienić wraz z dalszym badaniem zabezpieczonych danych. Śledczy nie ujawnili danych o ofiarach w innych krajach, w tym w Czechach.

Zaskoczyło Cię, że za setkami udanych ataków mieli stać głównie nastolatkowie?

Źródła: Europol, Policja Hamburg, Reuters, BleepingComputer