Uderzenie w KillSec: 16-latek w centrum
Międzynarodowa operacja rozbiła infrastrukturę KillSec i zabezpieczyła 110 TB danych. Wśród podejrzanych jest 16-letni domniemany lider.
Międzynarodowa akcja przeciw KillSec
Służby ścigania przeprowadziły szeroko zakrojoną operację przeciwko grupie ransomware KillSec, która od 2024 roku miała przeprowadzić setki ataków na organizacje na całym świecie. W centrum sprawy znalazł się wyjątkowo młody podejrzany: 16-latek wskazywany jako domniemany administrator i główny operator grupy.
Działania prowadzone pod kryptonimem Operation KillSwitch objęły kilka państw europejskich oraz wsparcie partnerów z USA. Koordynację po stronie niemieckiej prowadziły organy z Hamburga, a w śledztwie uczestniczyły służby m.in. z Belgii, Finlandii, Grecji, Holandii, Rumunii, Hiszpanii, Szwajcarii, Wielkiej Brytanii i Stanów Zjednoczonych.
Co udało się przejąć
W ramach akcji funkcjonariusze:
- przejęli leak site używaną do publikowania wykradzionych danych,
- zabezpieczyli pięć serwerów wykorzystywanych do zarządzania działalnością grupy i przechowywania danych ofiar,
- przejęli domeny kontrolowane przez KillSec,
- ochronili co najmniej 110 TB skradzionych danych przed dalszym ujawnieniem,
- przeprowadzili osiem przeszukań domów i mieszkań,
- dokonali trzech tymczasowych zatrzymań.
Według ustaleń śledczych zabezpieczone materiały mogą pomóc w identyfikacji kolejnych ofiar, ataków i osób powiązanych z działalnością grupy.
Jak działał KillSec
KillSec funkcjonował jako grupa typu Ransomware-as-a-Service (RaaS). Taki model oznacza, że rdzeń organizacji dostarcza infrastrukturę, oprogramowanie i zaplecze techniczne, a współpracownicy lub afilianci pomagają w przeprowadzaniu ataków.
W tym przypadku grupa miała wykorzystywać:
- luki w oprogramowaniu,
- słabo zabezpieczone punkty dostępu do chmury,
- infrastrukturę opartą m.in. o środowiska Windows i VMware ESXi.
Nie zawsze chodziło wyłącznie o szyfrowanie plików. W części przypadków przestępcy przede wszystkim kradli dane i szantażowali ofiary ich publikacją, a także działali jako pośrednik w obrocie wykradzionymi informacjami. W tle pojawiały się kwoty od 5000 do 500 000 dolarów za sprzedawane dane.
Skala szkód i rola Europolu
Według ustaleń śledczych KillSec miał odpowiadać za co najmniej 500 skutecznych ataków, choć liczba wszystkich powiązanych incydentów może sięgać około 1000. Wśród publicznie zgłoszonych ofiar dominowały organizacje ze Stanów Zjednoczonych i Indii.
W dochodzeniu kluczową rolę odegrały także firmy z branży cyberbezpieczeństwa, które pomogły przeanalizować infrastrukturę grupy i powiązać ją z wcześniejszymi atakami. Zwrócono uwagę, że rdzeń operacji był niewielki, ale dobrze zorganizowany: osobne role mieli pełnić administrator, developer, negocjator i afiliant.
Nie tylko Europie i USA
Śledczy wskazali, że działalność KillSec dotykała szczególnie sektorów, od których zależy codzienne funkcjonowanie społeczeństwa: ochrony zdrowia, administracji publicznej i instytucji finansowych. To właśnie dlatego rozbicie zaplecza technicznego grupy ma znaczenie szersze niż sama konfiskata serwerów.
W sprawie pojawił się też wątek zatrzymania obywatela Holandii mieszkającego w Wielkiej Brytanii, któremu postawiono zarzuty związane z hackingiem i wymuszeniami. W jego przypadku maksymalny wymiar kary ma wynosić 10 lat więzienia.
Co dalej
Choć przejęcie serwerów i domen mocno osłabia możliwości grupy, śledczy podkreślają, że samo wyłączenie infrastruktury nie kończy sprawy. Najważniejsze pozostaje dotarcie do osób, które tworzyły narzędzia, zatwierdzały ataki i zarządzały całym procederem.
W przypadku KillSec operacja uderzyła więc nie tylko w techniczną stronę przestępczego biznesu, ale także w ludzi stojących za atakami — i to właśnie może przesądzić o trwałym rozbiciu tej siatki.
