En una operación conjunta internacional, las fuerzas del orden arrestaron a un desarrollador de malware vinculado con la banda de ransomware Ragnar Locker y se apoderaron de los sitios de la dark web del grupo.
Ataques contra empresas internacionales
Se cree que la banda de ransomware Ragnar Locker ha llevado a cabo ataques contra 168 empresas internacionales en todo el mundo desde 2020.
Arresto y registro de sospechosos
«El objetivo clave de este ransomware malicioso fue arrestado en París, Francia, el 16 de octubre, y su casa en República Checa fue registrada. Cinco sospechosos fueron entrevistados en España y Letonia en los días siguientes», dijo Europol. «Al final de la semana de acción, el principal autor, sospechoso de ser un desarrollador del grupo Ragnar, compareció ante los jueces de instrucción del Tribunal Judicial de París.»
Acciones de las autoridades ucranianas
La policía ucraniana también allanó las instalaciones de otro presunto miembro de una pandilla en Kiev, confiscando computadoras portátiles, teléfonos móviles y dispositivos electrónicos.
Coordinación judicial internacional
Eurojust abrió el caso en mayo de 2021 a petición de las autoridades francesas. La agencia realizó cinco reuniones de coordinación para facilitar la colaboración judicial entre las autoridades involucradas en la investigación.
Operaciones anteriores contra el grupo
Esta operación conjunta entre autoridades de Francia, República Checa, Alemania, Italia, Letonia, Países Bajos, España, Suecia, Japón, Canadá y Estados Unidos marca la tercera acción contra la misma banda de ransomware.
En septiembre de 2021, los esfuerzos coordinados en los que participaron autoridades francesas, ucranianas y estadounidenses llevaron al arresto de dos sospechosos en Ucrania. Posteriormente, en octubre de 2022, otro sospechoso fue detenido en Canadá mediante una operación conjunta realizada por agencias policiales francesas, canadienses y estadounidenses.
Confiscación de activos y desactivación de servidores
Durante la operación coordinada, los agentes encargados de hacer cumplir la ley también confiscaron activos de criptomonedas y derribaron los sitios de negociación y filtración de datos Tor de Ragnar Locker el jueves.
«Además, nueve servidores fueron desactivados: cinco en Holanda, dos en Alemania y dos en Suecia», dijo Europol. «Este servicio ha sido confiscado como parte de una acción policial coordinada contra el grupo Ragnar Locker», se lee en un cartel mostrado en el sitio de filtración de datos de Ragnar Locker.
Acción de la Alianza Cibernética Ucraniana
Además de la incautación exitosa de la infraestructura de Ragnar Locker, la Alianza Cibernética Ucraniana (UCA) hackeó la operación Trigona Ransomware, recuperando datos con éxito y borrando los servidores de los ciberdelincuentes.
Origen del ransomware
La operación de ransomware Ragnar Locker (también conocida como Ragnar_Locker y RagnarLocker) surgió a finales de diciembre de 2019 cuando comenzó a apuntar a víctimas empresariales en todo el mundo.
Diferencias con otros grupos
A diferencia de muchas bandas modernas de ransomware, Ragnar Locker no operaba como un ransomware como servicio, donde se recluta a afiliados para violar las redes de los objetivos e implementar el ransomware a cambio de una parte de los ingresos. Ragnar Locker operaba de forma semiprivada, ya que no reclutaban afiliados activamente y elegían colaborar con evaluadores de penetración externos para violar las redes.
Víctimas destacadas
Su lista de víctimas anteriores incluye entidades destacadas como el fabricante de chips informáticos ADATA, el gigante de la aviación Dassault Falcon y el fabricante japonés de juegos Capcom.
Impacto en Estados Unidos
Según un aviso del FBI de marzo de 2022, este ransomware se ha implementado en las redes de al menos 52 organizaciones en varios sectores de infraestructura crítica en los Estados Unidos desde abril de 2020.