A Agência Nacional de Crimes do Reino Unido (NCA) revelou o administrador e desenvolvedor da operação de ransomware LockBit, revelando que se trata de um cidadão russo de 31 anos chamado Dmitry Yuryevich Khoroshev.
Além disso, Khoroshev foi sancionado pelo Escritório de Relações Exteriores, Comércio e Desenvolvimento do Reino Unido (FCD), pelo Escritório de Controle de Ativos Estrangeiros do Departamento do Tesouro dos Estados Unidos (OFAC) e pelo Departamento de Assuntos Estrangeiros da Austrália.
A Europol, em um comunicado à imprensa, afirmou que as autoridades possuem mais de 2.500 chaves de descriptografia e estão continuando a contatar as vítimas do LockBit para oferecer suporte.
Khoroshev, que utilizava os codinomes LockBitSupp e putinkrab, também se tornou alvo de congelamento de bens e proibições de viagem, com o Departamento de Estado dos EUA oferecendo uma recompensa de até US$ 10 milhões por informações que levem à sua prisão e/ou condenação.
Anteriormente, a agência havia anunciado ofertas de recompensa de até US$ 15 milhões em busca de informações sobre a identidade e localização de líderes-chave do grupo de variantes de ransomware LockBit, bem como as prisões e/ou condenações dos membros do grupo.
Simultaneamente, uma acusação divulgada pelo Departamento de Justiça (DoJ) acusou Khoroshev de 26 crimes, incluindo conspiração para cometer fraude, extorsão e atividades relacionadas a computadores; conspiração para cometer fraude eletrônica; oito acusações de danos intencionais a um computador protegido; oito acusações de extorsão relacionadas a informações confidenciais de um computador protegido; e oito acusações de extorsão relacionadas a danos a um computador protegido.
Ao todo, as acusações carregam uma pena máxima de 185 anos de prisão. Cada uma das acusações também carrega uma multa monetária equivalente ao maior valor entre US $ 250.000, lucro para o infrator ou dano pecuniário à vítima.
Com a última acusação, um total de seis membros afiliados à conspiração do LockBit foram acusados, incluindo Mikhail Vasiliev, Mikhail Matveev, Ruslan Magomedovich Astamirov, Artur Sungatov e Ivan Gennadievich Kondratiev.
“O anúncio de hoje coloca mais um prego no caixão do LockBit e nossa investigação contra eles continua”, disse o Diretor-Geral da NCA, Graeme Biggar. “Agora também estamos mirando os afiliados que usaram os serviços do LockBit para infligir ataques devastadores de ransomware em escolas, hospitais e grandes empresas ao redor do mundo.”
O LockBit, que era um dos grupos de ransomware como serviço (RaaS) mais prolíficos, foi desmantelado como parte de uma operação coordenada denominada Cronos em fevereiro deste ano. Estima-se que tenha atingido mais de 2.500 vítimas em todo o mundo e recebido mais de US$ 500 milhões em pagamentos de resgate.
“Tentativas do LockBit de ressurgir após a ação da aplicação da lei têm sido mal sucedidas, levando-os a postar vítimas antigas e falsas em seu novo site de vazamento de dados”, enfatizou a agência. “O grupo tentou reconstruir nos últimos dois meses, no entanto […] estão atualmente operando com capacidade limitada e a ameaça global do LockBit reduziu significativamente.”
O esquema RaaS estimou ter abrangido 194 afiliados até 24 de fevereiro, dos quais 148 realizaram ataques e 119 negociaram com as vítimas em relação ao resgate.
O número de afiliados ativos do LockBit desde então caiu para 69, acrescentou a NCA, indicando que o LockBit não costumava excluir dados roubados depois que um resgate era pago e que descobriram numerosos casos em que o descriptografador fornecido às vítimas não funcionava conforme o esperado.
Como líder central e desenvolvedor do ransomware LockBit, Khoroshev desempenhou uma variedade de funções operacionais e administrativas para o grupo de cibercrime, e se beneficiou financeiramente dos ataques de ransomware do LockBit.
“Khoroshev facilitou a atualização da infraestrutura do LockBit, recrutou novos desenvolvedores para o ransomware e gerenciou os afiliados do LockBit. Ele também é responsável pelos esforços do LockBit para continuar as operações após sua interrupção pelos EUA e seus aliados este ano.”