Las autoridades judiciales y policiales de siete países han unido fuerzas con Europol y Eurojust para desmantelar y detener a figuras clave detrás de importantes operaciones de ransomware que afectan a todo el mundo. La acción se llevó a cabo en Ucrania, en un momento crítico mientras el país enfrenta la agresión militar de Rusia.
Financiación y coordinación
La investigación se benefició de la financiación de la Plataforma Multidisciplinar Europea Contra las Amenazas Criminales (EMPACT). El 21 de noviembre, se registraron 30 propiedades en las regiones de Kiev, Cherkasy, Rivne y Vinnytsia, lo que resultó en el arresto del cabecilla de 32 años. También fueron detenidos cuatro de los cómplices más activos.
Participación internacional
Más de 20 investigadores de Noruega, Francia, Alemania y Estados Unidos fueron enviados a Kiev para ayudar a la Policía Nacional de Ucrania. Esta configuración se reflejó en la sede de Europol en los Países Bajos, donde se activó un puesto de mando virtual para analizar inmediatamente los datos incautados durante los registros domiciliarios.
Seguimiento forense
Esta acción se produce tras una primera ronda de detenciones en 2021, en el marco de la misma investigación. Desde entonces, se han organizado una serie de sprints operativos en Europol y en Noruega con el objetivo de analizar forensemente los dispositivos incautados en Ucrania en 2021. Este trabajo permitió identificar a los sospechosos detenidos durante la acción reciente.
Red de atacantes
Se cree que las personas investigadas forman parte de una red responsable de ataques de ransomware contra organizaciones en 71 países. Implementaron los ransomware LockerGoga, MegaCortex, HIVE y Dharma.
Roles dentro de la organización
Los sospechosos tenían diferentes roles en esta organización criminal. Se cree que algunos están involucrados en comprometer las redes informáticas de sus objetivos, mientras que se sospecha que otros están a cargo del blanqueo de pagos en criptomonedas realizados por las víctimas.
Técnicas utilizadas
Los responsables de irrumpir en las redes lo hacían mediante técnicas como ataques de fuerza bruta, inyecciones SQL y envío de correos electrónicos de phishing con archivos adjuntos maliciosos. Una vez dentro de las redes, los atacantes no fueron detectados y obtuvieron acceso adicional utilizando herramientas como el malware TrickBot, Cobalt Strike y PowerShell Empire.
Impacto económico
La investigación determinó que los autores cifraron más de 250 servidores de grandes empresas, lo que provocó pérdidas de varios cientos de millones de euros.
Cooperación internacional
Por iniciativa de las autoridades francesas, en septiembre de 2019 se creó un equipo conjunto de investigación (JIT) entre Noruega, Francia, el Reino Unido y Ucrania. Desde entonces, los socios del JIT colaboran estrechamente con investigaciones independientes de las autoridades holandesas, alemanas, suizas y estadounidenses.
Apoyo institucional
El Centro Europeo de Ciberdelincuencia (EC3) de Europol organizó reuniones operativas, proporcionando soporte forense digital, criptomonedas y malware. Eurojust acogió doce reuniones de coordinación para facilitar la comunicación y la cooperación judicial entre las autoridades implicadas.
Herramientas de descifrado
El análisis forense permitió a las autoridades suizas desarrollar, junto con los socios de No More Ransom, herramientas de descifrado para las variantes de ransomware LockerGoga y MegaCortex.