Negociador de ransomware se declara culpable del programa BlackCat

Un exnegociador de ransomware se declaró culpable esta semana de conspirar con el actor de ransomware BlackCat/ALPHV para lanzar ataques de ransomware contra empresas estadounidenses en 2023.

El Departamento de Justicia anunció la declaración ayer como parte de su moción. además Campaña por la abolición gato negroun prolífico actor de ransomware anteriormente responsable de ataques contra hospitales Y universidadesasí como destinos conocidos. Por ejemplo, se informó que un afiliado fue responsable ahora infame ataque contra Change Healthcare en 2024. Ahora la empresa conocida como BlackCat ha desaparecido en gran medida, pero los esfuerzos de aplicación de la ley continúan.

Angelo Martino, de 41 años, de Land O'Lakes, Florida, trabajó con actores de BlackCat/ALPHV para extorsionar a organizaciones a partir de abril de 2023. un comunicado del Ministerio de JusticiaMartino abusó de su papel en una empresa de respuesta a incidentes cibernéticos con sede en EE. UU. para ayudar a los ciberdelincuentes. Mientras trabajaba en nombre de cinco víctimas, «proporcionó a los atacantes de BlackCat información confidencial sobre la posición negociadora y la estrategia de los clientes de su empresa, sin que los clientes o su empleador lo supieran o lo permitieran».

Relacionado:Datos sobre amenazas internas: lo que revelan 1.000 casos reales sobre riesgos ocultos

Esta información confidencial incluía montos del seguro de las víctimas y posiciones de negociación interna si BlackCat pudiera maximizar los pagos de sus víctimas. BlackCat le pagó a Martino por su cooperación.

Tres expertos en ciberseguridad convertidos en villanos

Martino también admitió haber conspirado con otros dos expertos en ciberseguridad, Ryan Goldberg de Georgia y Kevin Martin de Texas. Implementaron con éxito el ransomware BlackCat contra múltiples víctimas radicadas en EE. UU. entre abril y noviembre de 2023. “Después de extorsionar con éxito a una víctima con aproximadamente 1,2 millones de dólares en Bitcoin, los hombres dividieron su parte del rescate de tres maneras y lavaron los fondos de varias maneras”, señaló el Departamento de Justicia.

Hasta ahora, las fuerzas del orden han incautado aproximadamente 10 millones de dólares en activos de Martino, incluidos varios vehículos (como un camión de comida y un barco de lujo), así como monedas digitales compradas como parte de esta actividad de ransomware.

Martino se declaró culpable de un cargo de extorsión. Goldberg y Martin se declararon culpables del mismo cargo en diciembre. Martino será sentenciado el 9 de julio y los demás el 30 de abril. Los tres se enfrentan a una pena máxima de 20 años de prisión.

Martino y Martin eran empleados de DigitalMint, mientras que Goldberg era empleado de Sygnia. Ambas compañías dijeron que cooperó plenamente con las autoridades encargadas de hacer cumplir la ley. DigitalMint le dijo anteriormente a Dark Reading que ambos empleados infractores habían sido despedidos y que las acciones de Martin y Martino violaban sus estándares éticos. Mientras tanto, Sygnia dijo que Goldberg actuó por iniciativa propia y que los clientes de Sygnia no se vieron afectados por sus acciones.

Llega el pedido de Martino tres días después del británico Tyler Buchanan se declaró culpable de fraude electrónico y robo de identidad agravado, según el Departamento de Justicia. Conspiró con otros para infectar al menos una docena de empresas a través de ataques de phishing basados ​​en texto mientras robaba al menos 8 millones de dólares en monedas virtuales. Según los informes, el joven de 24 años tenía conexiones con Araña dispersa.

“Separación clara” entre negociación y pago

Daniel Tobok, director ejecutivo de la empresa de respuesta a incidentes Cypfer y negociador de ransomware desde hace mucho tiempo, le dice a Dark Reading que, según la información disponible, es casi seguro que Martino tenía demasiado acceso a datos financieros y procesos de pago como para poder pasar cierta información a BlackCat. «Creo firmemente que debería haber una separación entre la persona que realiza las negociaciones y el proceso de pago», dice Tobok.

«Si hay una separación clara, diferentes personas negocian, desarrollan la estrategia y elaboran una cifra, no tienen nada de qué ganar dinero o beneficiarse», dice. Estos cortafuegos ayudan a reducir los conflictos de intereses y las autocontrataciones.

Morey Haber, asesor jefe de seguridad de BeyondTrust, dijo en un correo electrónico que una conclusión incómoda de este incidente es que la confianza, incluso para los protectores, no debe ser absoluta.

«Para las víctimas de ransomware, la confianza siempre debe verificarse y no debe estar implícita en el nombre de una empresa, título o simplemente en un sitio web que anuncia servicios de negociación», escribe Haber. «Las víctimas de ransomware deben separar los roles de negociación (si es legal), respuesta (recuperación) y análisis forense (remediación), al tiempo que imponen el mínimo privilegio, incluso para terceros que utilicen datos confidenciales sobre el incidente».