O ransomware Ryuk: operador arménio declara-se culpado e enfrenta até 15 anos

A cidadã arménia Karen Serobovich Vardanyan declarou-se culpada no dia 8 de julho num tribunal federal dos EUA, no estado do Oregon, admitindo crimes de conspiração e fraude informática. O caso está relacionado com a sua alegada ajuda na implementação de ataques com ransomware Ryuk; esta ação terá gerado cerca de 1.610 bitcoins, com um valor à taxa de mercado de mais de 15 milhões de dólares no momento do pagamento. As duas acusações, em conjunto, acarretam no máximo 15 anos de prisão; a data da sentença foi marcada para 22 de setembro.

Mecanismo dos ataques com ransomware Ryuk: invasão de redes empresariais, ficheiros criptografados e processo de resgate em bitcoin

（Fonte: site do Departamento de Justiça dos EUA）

De acordo com o relato de acusação do Ministério Público Federal do Oregon, o funcionamento dos ataques com ransomware Ryuk é o seguinte: a organização criminosa invade a rede de uma empresa e instala um software malicioso Ryuk em centenas de estações de trabalho e servidores. O malware bloqueia e encripta todos os ficheiros da vítima até que o resgate seja pago; em seguida, deixa uma carta de extorsão exigindo que a vítima forneça um endereço de correio eletrónico e pague o resgate em bitcoin. Depois de a vítima contactar os atacantes, é negociado o montante do resgate; após o pagamento, os atacantes fornecem as chaves de desencriptação para restabelecer o acesso da vítima ao sistema.

Num comunicado divulgado em 9 de julho, o Departamento de Justiça dos EUA afirmou que a carta de extorsão exigia que a vítima pagasse o resgate em bitcoin e fornecesse um endereço de correio eletrónico para contacto.

Três dos principais casos de vítimas conhecidos e dimensão do resgate em bitcoin

Com base em reportes, as vítimas conhecidas desta ação com ransomware Ryuk incluem:

Empresa no Michigan: pagou 200 bitcoins para recuperar o acesso à rede, num valor de cerca de 1,1 milhão de dólares no momento do pagamento

Empresa tecnológica em Wilsonville, Oregon: alvo do ataque (perdas específicas não divulgadas)

Uma escola no Texas: sofreu um ataque em fevereiro de 2020 (perdas específicas não divulgadas)

No total, esta ação terá recolhido cerca de 1.610 bitcoins, com um valor total superior a 15 milhões de dólares no momento do pagamento. As autoridades ainda não divulgaram a lista completa de vítimas e não forneceram registos de transações das carteiras ou detalhes dos pagamentos.

Perguntas frequentes

Que acusações criminais enfrenta Karen Vardanyan e qual é a pena máxima possível?

De acordo com a descrição do Ministério Público Federal do Oregon, Vardanyan confessou-se culpada por duas acusações: conspiração (até 5 anos) e fraude informática (até 10 anos). No total, pode enfrentar no máximo 15 anos de prisão; cada acusação prevê ainda uma multa adicional de 250 mil dólares e três anos de liberdade condicional. A terceira acusação, relativa a extorsão, ainda não foi resolvida no âmbito do acordo de declaração de culpa. A sentença está marcada para 22 de setembro de 2026; o tribunal irá considerar, de forma integrada, os valores de compensação, o acordo de declaração de culpa e as orientações federais de determinação da pena.

O que é o ransomware Ryuk e como ataca empresas?

De acordo com reportes, Ryuk é um tipo de malware que bloqueia e encripta os ficheiros das vítimas até que o resgate seja pago. Os atacantes invadem primeiro a rede empresarial, instalam o malware em centenas de estações de trabalho e servidores, e depois deixam uma carta de extorsão a exigir que o resgate seja pago em bitcoin. Após o pagamento, os atacantes fornecem as chaves de desencriptação, restaurando o acesso da vítima ao sistema.

O acordo de declaração de culpa de Vardanyan inclui quais disposições de compensação?

De acordo com reportes, como parte do acordo de declaração de culpa, Vardanyan concordou em pagar mais de 1,1 milhão de dólares de compensação; a reavaliação da sentença pelo tribunal de Portland ocorrerá a 22 de setembro de 2026. O tribunal irá considerar, de forma integrada, o montante da compensação, o acordo de declaração de culpa e as orientações federais de determinação da pena para decidir a pena final.