Испанские власти задержали 16-летнего гражданина Румынии, обвиняемого в том, что он был основным оператором группы вымогательского ПО KillSec, связанной примерно с 1 000 атак по всему миру, в рамках международного расследования, охватившего несколько европейских стран.

По данным следствия, KillSec атаковала организации, используя уязвимости программного обеспечения и плохо защищённые точки доступа, причём особенно уязвимым местом оказывались облачные хранилища. По имеющимся данным, группа копировала конфиденциальные данные, а затем требовала оплату в криптовалюте, угрожая опубликовать похищенную информацию в случае отказа — это метод давления, известный как двойное вымогательство, который стал основой операций подобного рода, поскольку украденные данные продолжают оказывать давление на жертв, даже если те могут восстановить зашифрованные системы из резервных копий.

Отслеживание денежных потоков стало одним из центральных направлений расследования. Испанская полиция сообщила, что в ходе обысков были изъяты криптокошельки и выявлены транзакции, которые, как представляется, соответствуют выкупным платежам ряда жертв. Поскольку большинство платежей в криптовалюте оставляют постоянные записи в публичных реестрах, изъятые кошельки и совпадения транзакций позволяют следователям установить, куда перемещались выкупные средства после оплаты.

Скоординированная облава в четырёх странах

В результате операции были произведены три ареста и восемь обысков в Испании, Греции, Румынии и Великобритании. Второй подозреваемый, задержанный в Великобритании, стал объектом запроса об экстрадиции из Пуэрто-Рико, где власти США отдельно предъявили обвинения гражданину Нидерландов в связи с предполагаемыми кибератаками KillSec. Третий подозреваемый был задержан в Румынии. Эти трансграничные правовые шаги — запрос об экстрадиции и отдельные обвинения в США — остаются на рассмотрении и могут определить, где предполагаемые члены KillSec в конечном итоге предстанут перед судом.

Следствие также установило личность разработчика, которому в августе исполнилось 18 лет, но который, по имеющимся данным, был несовершеннолетним на момент совершения части предполагаемых правонарушений. Этот человек не был задержан.

Как сообщило агентство Reuters, 16-летний был задержан в Аликанте и, по подозрению, исполнял роль администратора KillSec. Власти не раскрыли личность подростка публично.

Криптоактивы остаются под scrutiny

Испанские следователи изъяли компьютерное оборудование, мобильные телефоны, криптокошельки и инструменты, предназначенные для сокрытия активности. Эти доказательства могут помочь властям отследить, как выкупные платежи перемещались через криптокошельки, и выявить дополнительных участников или активы, связанные с предполагаемой операцией.

По данным Европола, KillSec получила от жертв значительные выкупные платежи, а также вела сайт утечек, где угрожала опубликовать украденную информацию, если организации откажутся платить.

Власти установили контроль над инфраструктурой KillSec, включая серверы, содержащие около 110 терабайт данных. Расследование продолжается: правоохранительные органы изучают предполагаемые атаки группы, полученные средства и её более широкую сеть, согласно данным CryptoMeter io.