Ο διαχειριστής του Phobos ransomware ομολογεί την ενοχή του

Η διεθνής μάχη κατά του κυβερνοεγκλήματος συνεχίζεται με νέες εξελίξεις, καθώς ένας Ρώσος υπήκοος παραδέχθηκε την ενοχή του για τη συμμετοχή του σε μία από τις πιο γνωστές επιχειρήσεις ransomware των τελευταίων ετών. Η υπόθεση αφορά τη διαχείριση του κακόβουλου λογισμικού Phobos ransomware, το οποίο έχει συνδεθεί με εκατοντάδες επιθέσεις εναντίον οργανισμών και επιχειρήσεων σε παγκόσμιο επίπεδο.

Ομολογία ενοχής για τον διαχειριστή της επιχείρησης ransomware

Σύμφωνα με τις αμερικανικές αρχές, ο 43χρονος Evgenii Ptitsyn παραδέχθηκε την ενοχή του για συνωμοσία για απάτη μέσω ηλεκτρονικών επικοινωνιών. Η υπόθεση συνδέεται με τον ρόλο του στην οργάνωση και λειτουργία του ransomware Phobos, το οποίο χρησιμοποιήθηκε σε μαζικές επιθέσεις κυβερνοεκβιασμού.

Ο Ptitsyn εκδόθηκε στις Ηνωμένες Πολιτείες τον Νοέμβριο του 2024 από τη Νότια Κορέα, έπειτα από διεθνή έρευνα που αποκάλυψε τον ρόλο του στη διαχείριση της υποδομής του ransomware. Οι αμερικανικές αρχές τον κατηγόρησαν ότι επέβλεπε τη διανομή, την πώληση και τη λειτουργία της πλατφόρμας Phobos.

Δείτε επίσης: Οι αρχές διέλυσαν την υποδομή της phishing υπηρεσίας Tycoon2FA

Η ποινή του αναμένεται να ανακοινωθεί στις 15 Ιουλίου και ο ίδιος αντιμετωπίζει ποινή φυλάκισης που μπορεί να φτάσει έως και τα 20 χρόνια.

Το μοντέλο ransomware-as-a-service

Το Phobos λειτουργούσε με το γνωστό πλέον μοντέλο ransomware-as-a-service (RaaS). Η αρχιτεκτονική αυτή επιτρέπει στους δημιουργούς του κακόβουλου λογισμικού να το διαθέτουν σε συνεργάτες, οι οποίοι πραγματοποιούν τις επιθέσεις με αντάλλαγμα ποσοστό από τα λύτρα.

Το συγκεκριμένο ransomware συνδέεται με την οικογένεια Crysis ransomware και έχει διαδοθεί ευρέως μέσω πολλών εγκληματικών συνεργασιών. Σύμφωνα με στοιχεία από την υπηρεσία ID Ransomware, το Phobos αντιπροσώπευε περίπου το 11% όλων των περιστατικών που αναφέρθηκαν μεταξύ Μαΐου και Νοεμβρίου του 2024.

Το United States Department of Justice εκτιμά ότι η εγκληματική οργάνωση απέσπασε περισσότερα από 39 εκατομμύρια δολάρια σε λύτρα, στοχεύοντας πάνω από 1.000 οργανισμούς του δημόσιου και ιδιωτικού τομέα.

Phobos ransomware: Πώς λειτουργούσε το δίκτυο κυβερνοεγκλήματος

Σύμφωνα με τα δικαστικά έγγραφα, η επιχείρηση κυβερνοεγκλήματος ξεκίνησε το αργότερο τον Νοέμβριο του 2020. Ο Ptitsyn και οι συνεργοί του διαφήμιζαν το ransomware σε σκοτεινά φόρουμ του διαδικτύου και σε ιστοσελίδες του darknet χρησιμοποιώντας τα ψευδώνυμα “derxan” και “zimmermanx”.

Οι συνεργάτες που αγόραζαν πρόσβαση στο κακόβουλο λογισμικό αναλάμβαναν τις επιθέσεις. Συχνά εισέβαλαν σε εταιρικά δίκτυα χρησιμοποιώντας κλεμμένα στοιχεία σύνδεσης ή εκμεταλλευόμενοι ευπάθειες σε συστήματα απομακρυσμένης πρόσβασης.

Δείτε επίσης: LeakBase: Οι αρχές διέλυσαν το φόρουμ ανταλλαγής κλεμμένων δεδομένων

Στόχοι των επιθέσεων ήταν οργανισμοί όπως νοσοκομεία, σχολεία και κυβερνητικές υπηρεσίες. Αφού αποκτούσαν πρόσβαση, οι επιτιθέμενοι έκλεβαν δεδομένα και στη συνέχεια κρυπτογραφούσαν κρίσιμα αρχεία, απαιτώντας λύτρα για την αποκατάσταση της πρόσβασης.

Εκβιασμός και απειλές διαρροής δεδομένων

Οι ομάδες, που χρησιμοποιούσαν το Phobos, δεν περιορίζονταν μόνο στην κρυπτογράφηση δεδομένων. Σε πολλές περιπτώσεις ακολουθούσαν και τακτικές διπλού εκβιασμού. Εάν ένα θύμα αρνούνταν να πληρώσει, οι δράστες απειλούσαν ότι θα δημοσιεύσουν τα κλεμμένα αρχεία στο διαδίκτυο.

Οι απειλές αυτές συνοδεύονταν συχνά από email και τηλεφωνικές κλήσεις προς τα θύματα, με προειδοποιήσεις ότι τα δεδομένα θα αποσταλούν ακόμη και σε πελάτες ή συνεργάτες της εταιρείας.

Η οικονομική δομή της επιχείρησης ήταν επίσης σαφώς οργανωμένη. Μετά από κάθε επιτυχημένη επίθεση, οι συνεργάτες πλήρωναν περίπου 300 δολάρια στους διαχειριστές του Phobos για να λάβουν το αντίστοιχο κλειδί αποκρυπτογράφησης.

Κάθε επίθεση συνοδευόταν από ένα μοναδικό αλφαριθμητικό αναγνωριστικό που αντιστοιχούσε στο συγκεκριμένο κλειδί. Τα τέλη αυτά καταβάλλονταν σε πορτοφόλια κρυπτονομισμάτων που συνδέονταν με τους συνεργάτες.

Η διαδρομή των χρημάτων μέσω κρυπτονομισμάτων

Οι ερευνητές εντόπισαν ότι μεταξύ Δεκεμβρίου 2021 και Απριλίου 2024, τα τέλη για τα κλειδιά αποκρυπτογράφησης μεταφέρονταν τελικά σε ένα κεντρικό πορτοφόλι κρυπτονομισμάτων που φέρεται να ελεγχόταν από τον Ptitsyn.

Δείτε επίσης: Κακόβουλα Laravel Packages στο Packagist εγκαθιστούν RAT

Η χρήση κρυπτονομισμάτων αποτελεί βασικό στοιχείο σε πολλές επιχειρήσεις ransomware, καθώς προσφέρει ένα επίπεδο ανωνυμίας στις οικονομικές συναλλαγές των εγκληματιών.

Ωστόσο, οι αρχές έχουν πλέον αναπτύξει εξελιγμένες τεχνικές ανάλυσης blockchain, οι οποίες επιτρέπουν τον εντοπισμό των διαδρομών χρημάτων και τη σύνδεση τους με πραγματικά πρόσωπα.

Η διεθνής επιχείρηση Aether

Η σύλληψη και δίωξη των εμπλεκομένων συνδέεται και με τη διεθνή αστυνομική επιχείρηση Operation Aether, μια συντονισμένη προσπάθεια που υποστηρίζεται από την Europol και την Eurojust.

Στο πλαίσιο αυτής της επιχείρησης, οι αρχές πραγματοποίησαν πολλαπλές συλλήψεις σε διαφορετικές χώρες και κατάσχεσαν υποδομές που χρησιμοποιούνταν για τη λειτουργία του ransomware.

Νωρίτερα μέσα στο 2025, η πολωνική αστυνομία συνέλαβε έναν 47χρονο ύποπτο που φέρεται να είχε δεσμούς με το δίκτυο Phobos, ενώ κατασχέθηκαν υπολογιστές και κινητά τηλέφωνα που περιείχαν κλεμμένα διαπιστευτήρια, αριθμούς πιστωτικών καρτών και στοιχεία πρόσβασης σε servers.

Μαζικές κατασχέσεις υποδομών και προειδοποιήσεις σε εταιρείες

Η επιχείρηση είχε και άλλα σημαντικά αποτελέσματα. Τον Φεβρουάριο του 2025 οι αρχές συνέλαβαν δύο ακόμη συνεργάτες και κατέσχεσαν συνολικά 27 servers που χρησιμοποιούνταν για επιθέσεις ransomware.

Παράλληλα, οι υπηρεσίες επιβολής του νόμου κατάφεραν να προειδοποιήσουν περισσότερες από 400 εταιρείες σε όλο τον κόσμο για επιθέσεις που βρίσκονταν σε εξέλιξη ή επρόκειτο να πραγματοποιηθούν.

Σύμφωνα με την Europol, στην πολύπλοκη αυτή διεθνή επιχείρηση συμμετείχαν υπηρεσίες επιβολής του νόμου από συνολικά 14 χώρες, δείχνοντας πόσο απαραίτητη είναι πλέον η διακρατική συνεργασία στην αντιμετώπιση του σύγχρονου κυβερνοεγκλήματος.

Πηγή: www.bleepingcomputer.com