Operador do ransomware Ryuk se declara culpado em extorsão de bitcoin de $15M

De acordo com os promotores federais em Oregon, Karen Serobovich Vardanyan se declarou culpado em 8 de julho por auxiliar na operação de uma campanha de ransomware Ryuk que roubou mais de US$ 15 milhões em bitcoin de empresas dos EUA.

Extraditado da Ucrânia, Vardanyan é um nacional armênio de 34 anos. Neste outono, um juiz o condenará. Por ambas as acusações, ele pode passar até 15 anos na prisão.

O ransomware Ryuk invadiu redes corporativas

De acordo com o Escritório do Procurador dos EUA para o Distrito de Oregon, Vardanyan admitiu conspiração e fraude computacional. Cada conta tem um máximo próprio. A conspiração carrega uma sentença de cinco anos; a fraude computacional carrega uma sentença de dez anos. Uma multa de US$ 250.000 e três anos de liberdade condicional também estão associados a cada uma. Em fevereiro de 2024, ele foi acusado de uma terceira conta de extorsão por um grande júri federal em Portland. Essa não foi resolvida pela declaração de culpa.

De acordo com a acusação, o esquema operou de novembro de 2019 a abril de 2020. Depois de invadir redes corporativas, Vardanyan e seus cúmplices usaram o Ryuk. O Ryuk é um tipo de malware que bloqueia e criptografa os arquivos de uma vítima até que um resgate seja pago. O grupo supostamente instalou o software em centenas de estações de trabalho e servidores, de acordo com os investigadores. Em seguida, deixou notas de resgate, cada uma solicitando um endereço de e-mail e bitcoin para que as vítimas pudessem negociar sua volta para seus próprios sistemas.

O DOJ declarou em um comunicado à imprensa em 9 de julho que “uma nota de resgate foi colocada nos sistemas de computador exigindo pagamentos de resgate em Bitcoin, uma forma de criptomoeda, e forneceu um endereço de e-mail que as vítimas poderiam usar para se comunicar com os cibercriminosos.” A carteira estava sob o controle do grupo. Os atacantes deram às vítimas as chaves de descriptografia depois que a vítima pagou para ela.

De acordo com os promotores, uma empresa de Michigan pagou 200 bitcoins para recuperar o acesso à sua rede. Na época, o bitcoin valia mais de US$ 1,1 milhão. Uma empresa de tecnologia de Wilsonville, Oregon, também foi alvo da campanha. E em fevereiro de 2020, atingiu uma escola no Texas. De acordo com o DOJ, a operação recebeu ~1.610 bitcoins no total, que valiam mais de US$ 15 milhões no momento dos pagamentos.

Uma lista completa das vítimas não foi divulgada pela acusação. Além disso, não há histórico de carteira ou detalhamento de quais pagamentos originaram-se de qual ataque.

Vardanyan concordou em fazer restituição totalizando mais de US$ 1,1 milhão como parte de sua declaração de culpa. Portland sediará uma revisão do Juiz do Distrito dos EUA em 22 de setembro de 2026. O valor da restituição, o acordo de declaração de culpa e as diretrizes de sentença federal serão todos considerados pelo tribunal.

O FBI investigou, e a Ucrânia cuidou da extradição

O FBI investigou. A Assistente da Procuradora dos EUA Katherine A. Rykken está processando, e o Procurador dos EUA Scott E. Bradford anunciou a declaração de culpa. O Escritório de Assuntos Internacionais do Departamento de Justiça ajudou a garantir a prisão e extradição de Vardanyan da Ucrânia. E o Escritório do Procurador dos EUA creditou às autoridades ucranianas por sua ajuda.

A Cryptopolitan recentemente reportou sobre uma operação separada. Os atacantes usaram um bot de negociação falso da Polymarket para enviar malware de roubo de credenciais para mais de 50 desenvolvedores.