Operador de ransomware Ryuk se declara culpable en extorsión de $15M en bitcoin

Según los fiscales federales en Oregón, Karen Serobovich Vardanyan se declaró culpable el 8 de julio por ayudar en la operación de una campaña de ransomware Ryuk que robó más de $15 millones en bitcoin de empresas de EE. UU.

Extraditado de Ucrania, Vardanyan es un nacional armenio de 34 años. Este otoño, un juez lo sentencia. Por ambas acusaciones, podría pasar hasta 15 años en la cárcel.

El ransomware Ryuk se infiltró en redes corporativas

Según la Oficina del Fiscal de los EE. UU. para el Distrito de Oregón, Vardanyan admitió conspiración y fraude informático. Cada cuenta tiene un máximo propio. La conspiración conlleva una sentencia de cinco años; el fraude informático conlleva una sentencia de diez años. También se asocia una multa de $250.000 y tres años de libertad supervisada con cada una. En febrero de 2024, fue acusado de una tercera cuenta de extorsión por un gran jurado federal en Portland. Esa no se resolvió con la declaración de culpabilidad.

Según la fiscalía, el esquema operó desde noviembre de 2019 hasta abril de 2020. Tras infiltrarse en las redes corporativas, Vardanyan y sus cómplices utilizaron Ryuk. Ryuk es un tipo de malware que bloquea y cifra los archivos de la víctima hasta que se paga un rescate. Según los investigadores, el grupo supuestamente instaló el software en cientos de estaciones de trabajo y servidores. Luego dejó notas de rescate, cada una solicitando una dirección de correo electrónico y bitcoin para que las víctimas pudieran negociar su regreso a sus propios sistemas.

El DOJ declaró en un comunicado de prensa del 9 de julio que "se colocó una nota de rescate en los sistemas informáticos exigiendo pagos de rescate en Bitcoin, una forma de criptomoneda, y proporcionó una dirección de correo electrónico que las víctimas podían usar para comunicarse con los cibercriminales". La billetera estaba bajo el control del grupo. Los atacantes dieron a la víctima las claves de descifrado después de que la víctima pagara en ella.

Según los fiscales, una empresa de Michigan pagó 200 bitcoin para recuperar el acceso a su red. En ese momento, el bitcoin valía más de $1,1 millones. Una empresa de tecnología de Wilsonville, Oregón, también fue objetivo de la campaña. Y en febrero de 2020, golpeó a una escuela de Texas. Según el DOJ, la operación recibió ~1.610 bitcoin en total, lo que valía más de $15 millones en el momento de los pagos.

La fiscalía no ha hecho pública una lista completa de las víctimas. Además, no hay historial de billeteras ni desglose de qué pagos provienen de cada ataque.

Vardanyan aceptó realizar una restitución por un total de más de 1,1 millones de dólares como parte de su acuerdo de confesión. Portland albergará una revisión por parte de un Juez del Distrito de EE. UU. el 22 de septiembre de 2026. La corte tomará en consideración el monto de la restitución, el acuerdo de confesión y las directrices federales de sentenciación.

El FBI investigó y Ucrania gestionó la extradición

El FBI investigó. La Asistente de la Fiscalía de EE. UU., Katherine A. Rykken, está llevando el caso, y el Fiscal de EE. UU., Scott E. Bradford, anunció la confesión. La Oficina de Asuntos Internacionales del Departamento de Justicia ayudó a asegurar el arresto y la extradición de Vardanyan desde Ucrania. La Oficina del Fiscal de EE. UU. reconoció la ayuda de las autoridades ucranianas.

Cryptopolitan recientemente informó sobre una operación separada. Los atacantes utilizaron un bot de negociación falso de Polymarket para impulsar malware de robo de credenciales a más de 50 desarrolladores.