Canadese cybercrimineel pleit schuldig aan 'NetWalker'-aanvallen in VS

Als je een Naakte beveiligingspocast luisteraar, u herinnert zich misschien, in maart 2022, dat we sprak over een veroordeelde cybercrimineel uit Canada met de naam Sebastien Vachon-Desjardins.

In alle opzichten maakte hij deel uit van verschillende zogenaamde Ransomware-as-a-Service (RaaS)-bendes, zoals REvil en NetWalker, waar de daadwerkelijke ransomware-aanvallers optreden als "affiliates" voor de belangrijkste ransomware-makers, in ruil voor het overhandigen van over een AppStore-achtige of Google Play-achtige 30% korting op elke chantagebetaling die ze afpersen.

Simpel gezegd, de kernbendeleden maken de malware-samples, draaien de darkweb-servers die de "onderhandelingen" met slachtoffers afhandelen en innen de afpersingsbetalingen...

…terwijl de filialen het inbreken in de netwerken van slachtoffers afhandelen, deze in kaart brengen en de laatste aanval opzetten waarbij zoveel mogelijk computers op het netwerk hun gegevens tegelijkertijd versleuteld hebben.

De 'bedrijfstheorie', als we het zo mogen noemen, is dat door 30% van elke succesvolle aanval af te pakken, de kerncriminelen inderdaad extreem rijk worden, maar zich onopvallend buiten de netwerkkrakende schijnwerpers houden.

Tegelijkertijd moedigen ze die mede-samenzweerders aan door 70% aan hun "affiliates" te overhandigen om elke aanval zo slopend mogelijk te maken, waardoor het bedrag dat slachtoffers uiteindelijk kunnen betalen om hun bedrijf weer draaiende te krijgen, mogelijk wordt verhoogd.

MEER INFORMATIE OVER RECENTE MALWARE-BUSTS (EERSTE DEEL)

De achtergrond

Vachon-Desjardins was een federale overheidsfunctionaris in het Canadese Hoofdstedelijk Gewest (hij komt uit Gatineau in Quebec, direct aan de overkant van de rivier van de federale hoofdstad Ottawa in Ontario).

Hij lijkt te hebben besloten dat deelname aan de onderwereld van cybercriminaliteit veel lucratiever zou zijn dan zijn baan bij de overheid, en het lijkt erop dat dat inderdaad het geval was. opknappen een klein fortuin aan illegale verdiensten...

… totdat hij werd geïdentificeerd, gearresteerd en vervolgd in Canada.

Na te zijn veroordeeld tot bijna zeven jaar in een Canadese gevangenis, werd hij vervolgens uitgeleverd aan Tampa, Florida in de VS, om het hoofd te bieden aan vier federale aanklachten er:

• Samenzwering om computerfraude te plegen
• Samenzwering om fraude te plegen
• Opzettelijke schade aan een beveiligde computer
• Een verzoek verzenden met betrekking tot het beschadigen van een beveiligde computer

De keuze voor Tampa voor zijn proces was omdat daar een bekend slachtoffer van een van zijn "NetWalker" ransomware-aanvallen is gevestigd.

Vachon-Desjardins heeft nu schuldig gepleit voor alle vier de aanklachten, met de pleidooi overeenkomst (met dank aan The Register voor het uploaden van een kopie van het gerechtelijk document) waarin wordt uitgelegd:

De NetWalker Ransomware was een specifiek type kwaadaardige software (malware) dat werd gebruikt om de toegang tot het computernetwerk van een slachtoffer te compromitteren en te beperken in een poging om losgeld af te dwingen. Samenzweerders gebruikten NetWalker niet alleen om gegevens van slachtoffers te versleutelen, maar gebruikten de malware ook om gevoelige gegevens van slachtoffers te stelen. Als een slachtoffer het losgeld niet zou betalen, zouden samenzweerders weigeren de gegevens van het slachtoffer te ontsleutelen en de gevoelige, gestolen gegevens online publiceren. De gestolen gegevens werden vaak gepubliceerd op een dark web-website genaamd 'the NetWalker Blog', die in de eerste plaats bestond om de publicatie van gestolen slachtoffergegevens te vergemakkelijken.

NetWalker opereerde als ransomware-as-a-service (“RaaS”), met in Rusland gevestigde ontwikkelaars en gelieerde ondernemingen die over de hele wereld woonden. Onder het RaaS-model waren ontwikkelaars verantwoordelijk voor het maken en bijwerken van de ransomware en het beschikbaar stellen van de ransomware aan partners. Partners waren verantwoordelijk voor het identificeren en aanvallen van hoogwaardige slachtoffers met de ransomware. Nadat een slachtoffer had betaald, deelden ontwikkelaars en partners het losgeld. Sebastien Vachon-Desjardins was een van de meest productieve NetWalker Ransomware-filialen.

SophosLabs heeft de NetWalker-ransomware in detail geanalyseerd, dankzij een voorraad bestanden hersteld door ons reactieteam voor bedreigingen tijdens een onderzoek naar ransomware-incidenten in 2020:

De pleidooiovereenkomst merkt ook op dat:

Op of omstreeks 27 en 28 januari 2021 voerde de Royal Canadian Mounted Police huiszoekingsbevelen uit in het huis van Vachon-Desjardins en in kluizen die door Vachon-Desjardins werden bewaard bij de Nationale Bank, Gatineau, Quebec.

Tijdens deze huiszoekingen heeft de politie onder meer alle bitcoins in beslag genomen die zich in de BTC Wallet 3Pxki6pFFKC12YSn8JtDs3ZrEg3pFTHnHd van de verdachte bevinden.

Deze in beslag genomen bitcoin was voornamelijk afkomstig van losgeld dat werd betaald door slachtoffers van NetWalker Ransomware-aanvallen.

Het in beslag genomen bedrag was iets minder dan 720 BTC, begin 23 ongeveer 2021 miljoen dollar waard en vandaag de dag nog steeds 14 miljoen dollar.

Dat was echter niet alles, met het gerechtelijke document waarin stond:

Wetshandhavers identificeerden en namen kopieën in beslag van de server die fungeerde als de backend, of intern gerichte, server van het NetWalker Tor Panel en de NetWalker Blog. Deze server bevatte gedetailleerde transactie-informatie over de NetWalker-ontwikkelaars en gelieerde ondernemingen. Uit de transactiegegevens bleek dat in de loop van de samenzwering ongeveer 100 filialen actief waren en dat slachtoffers ongeveer 5058 bitcoin aan losgeld hadden betaald (een geschat totaal van $ 40 miljoen op basis van de waarde van bitcoin op het moment van elke transactie).

Deze records bonden Vachon-Desjardins ook aan de succesvolle afpersing van ongeveer 1864 bitcoin aan losgeld (een geschatte totaal van US $ 21.5 miljoen op basis van de waarde van bitcoin op het moment van elke transactie) van tientallen slachtofferbedrijven over de hele wereld, waaronder [de slachtoffer in Tampa, Florida].

Wat nu?

Als Chester Wisniewski zet het in de podcast van maart 2022:

Sebastien is tijdelijk "in bruikleen" aan de Amerikanen, zodat ze hem kunnen straffen, maar als hij terugkomt, moet hij zijn straf hier in Canada nog ondergaan.

Alleen al op het misdrijf van overboeking staat een maximumstraf van 20 jaar, maar we gaan ervan uit dat de rechtbank een lichtere straf zal opleggen vanwege de ondertekening van de pleidooiovereenkomst.

De pleidooiovereenkomst maakt duidelijk dat: "[de] verdachte pleit schuldig omdat [hij] in feite schuldig is."

En een deel van de deal houdt in dat de “verdachte stemt ermee in om volledig samen te werken met de Verenigde Staten bij het onderzoek en de vervolging van andere personen, [... inclusief] een volledige en volledige openbaarmaking van alle relevante informatie, inclusief de productie van alle boeken, papieren, documenten en andere voorwerpen in de gedaagde bezit of controle.”

Met andere woorden, van Vachon-Desjardins wordt nu verwacht dat hij de bonen morst en zijn voormalige kameraden in de ransomware-scene verraadt.

Wat te doen?

Voor meer inzicht in de lelijke wereld van ransomware, hoe het werkt en hoe u zich ertegen kunt beschermen, kunt u onze State of Ransomware-enquêtes van 2021 en 2022?

---