Points clés à retenir
- Les autorités ont déclaré que la campagne de cybercriminalité avait collecté environ 1 610 bitcoins, une entreprise du Michigan ayant à elle seule transféré 200 bitcoins après une attaque.
- Pendant ce temps, le plaidoyer de culpabilité nécessite plus de 1,1 million de dollars de dédommagement, tandis que la condamnation pourrait entraîner une peine de prison, des amendes et une surveillance substantielles.
- Les enquêteurs du FBI, du ministère de la Justice et des autorités ukrainiennes ont coordonné leurs efforts, la condamnation étant attendue après un examen judiciaire de l'accord de plaidoyer.
Les attaques de ransomware ont forcé les entreprises américaines à payer Bitcoin pour les clés de décryptage
Plus de 15 millions de dollars en bitcoin provenaient de victimes américaines lors d'une campagne de ransomware Ryuk liée à Karen Serobovich Vardanyan, ont affirmé les procureurs fédéraux. Le ressortissant arménien de 34 ans, extradé d'Ukraine, a plaidé coupable le 8 juillet de complot et de fraude informatique après avoir reconnu son implication dans des cyberattaques menées de novembre 2019 à avril 2020.
Les victimes ont rencontré des fichiers cryptés, des postes de travail désactivés et des données d'entreprise inaccessibles après que des intrus ont pénétré leurs réseaux. Le groupe a réparti Ryuk sur des centaines de serveurs et d'ordinateurs, puis a utilisé la perturbation qui en a résulté pour faire pression sur les organisations afin qu'elles achètent des outils de décryptage avec crypto-monnaie.
Les procureurs fédéraux ont expliqué dans un communiqué du 9 juillet :
« Dans le cadre de ce stratagème, des rançons ont été extorquées aux entreprises victimes en échange de clés de décryptage permettant de retrouver l'accès à leurs données. Une note de rançon a été placée sur les systèmes informatiques exigeant le paiement d'une rançon en Bitcoinune forme de crypto-monnaieet a fourni une adresse e-mail que les victimes pourraient utiliser pour communiquer avec les cybercriminels.
Les instructions de paiement ont orienté les organisations concernées vers bitcoin et établi un contact par courrier électronique avec les attaquants. Ce processus a permis aux conspirateurs de négocier avec les victimes du lock-out, de confirmer les transferts et de fournir des clés destinées à rétablir l'accès une fois que les fonds ont atteint les adresses contrôlées par le groupe.
Les cibles d'entreprise comprenaient une entreprise du Michigan qui a cédé 200 bitcoins pour reprendre le contrôle de son réseau. Le paiement dépassait 1,1 million de dollars une fois terminé. D'autres incidents ont impliqué une entreprise technologique à Wilsonville, dans l'Oregon, et une école du Texas attaquée en février 2020.
Le plaidoyer fédéral fixe les conditions de restitution avant la détermination de la peine en septembre
Les produits de la crypto-monnaie attribués à l'opération s'élevaient à environ 1 610 bitcoins, ont affirmé les procureurs. Le BTC collecté avait une valeur supérieure à 15 millions de dollars au moment des transactions, bien que le communiqué de presse ne fournisse aucune liste complète des victimes, aucun historique du portefeuille ou une répartition des paiements associés aux attaques individuelles.
Les grands jurés de Portland ont inculpé Vardanyan le 22 février 2024 pour complot, fraude informatique et extorsion. Son plaidoyer a permis de résoudre les accusations de complot et de fraude informatique, et l'accord l'oblige à verser plus de 1,1 million de dollars en dédommagement.
Les procureurs fédéraux ont écrit :
« Vardanyan encourt une peine maximale de cinq ans de prison, une amende de 250 000 dollars et trois ans de liberté surveillée pour complot. Il encourt une peine maximale de 10 ans de prison, une amende de 250 000 dollars et trois ans de liberté surveillée pour fraude informatique. Vardanyan sera condamné le 22 septembre 2026, achète un juge d'un tribunal de district américain. «
Les sanctions potentielles comprennent des peines de prison distinctes, des amendes et une libération surveillée pour chaque infraction. Un juge d'un tribunal de district américain déterminera la peine le 22 septembre 2026, après avoir examiné l'accord de plaidoyer, l'obligation de restitution, les directives fédérales applicables et d'autres documents soumis avant l'audience.