Собственикът на компанията за възстановяване от рансъмуер атаки MonsterCloud е обвинен в предполагаема измама на жертви на рансъмуер, като тайно е плащал на техните атакуващи за декриптиращи ключове, докато е твърдял, че използва собствена технология за възстановяване на криптираните данни.

Зохар Пинхаси, на 50 години, известен също като „Zack Silver“ и „Zack Green“, беше подведен под отговорност от федерално голямо жури в Източния окръг на Ню Йорк на 23 септември и изправен пред съда в сряда във федералния съд в Бруклин.

Той е обвинен по едно обвинение за заговор за извършване на измама с електронни съобщителни средства и две обвинения за извършване на такава измама във връзка с предполагаема схема за декриптиране на рансъмуер, която според прокурорите е действала от юни 2018 г. до юни 2023 г.

От прокуратурата на САЩ заявиха пред BleepingComputer, че Пинхаси се е предал в сряда, пледирал е невинен и е бил освободен под гаранция от 2 милиона долара.

Според обвинителния акт Пинхаси е притежавал и управлявал базираната във Флорида компания MonsterCloud LLC, специализирана във възстановяване след рансъмуер атаки, която е рекламирала инструменти и техники за декриптиране за възстановяване на криптирани данни без да се плаща на киберпрестъпниците.

Прокурорите твърдят, че Пинхаси и неговите съучастници не са разполагали с такава патентована технология за декриптиране, а вместо това са се свързвали с операторите на рансъмуер, плащали са им за ключове за декриптиране и след това са използвали тези ключове за възстановяване на файловете на клиентите.

В обвинителния акт се отчита, че някои договори на MonsterCloud са упоменавали възможността компанията да комуникира или да плаща на киберпрестъпници. Твърди се обаче, че тези договори са посочвали, че MonsterCloud ще се свързва с атакуващите само ако не може да декриптира файловете на клиента по други начини.

Прокурорите твърдят, че преговорите с киберпрестъпниците обикновено са били първата стъпка на MonsterCloud за получаване на ключове за декриптиране и възстановяване на файлове.

„Както се твърди в обвинителния акт, чрез фалшиви твърдения, че декриптира рансъмуер без да плаща на изнудвачите, обвиняемият повторно е превръщал клиентите си в жертви, извличайки огромна печалба за себе си“, заяви американският прокурор Джоузеф Ночела-младши.

„Нашата прокуратура ще преследва с цялата строгост на закона извършителите на рансъмуер атаки, които тормозят американци по целия свят, както и онези, които цинично печелят от тяхната престъпна дейност.“

Твърди се, че MonsterCloud е таксувала клиентите си в пъти повече от откупите, които е плащала.

В един от инцидентите за възстановяване от рансъмуер, цитирани в обвинителния акт, Пинхаси предполагаемо е платил на рансъмуер банда около 8 200 долара и е начислил на жертвата приблизително 150 000 долара. При друг случай прокурорите заявяват, че той е платил около 236 000 долара и е таксувал клиента с около 380 000 долара.

В обвинителния акт също така се посочва, че MonsterCloud е използвала декриптирани примерни файлове като „доказателство за възстановяване“, за да убеди жертвите, че може да възстанови данните им, въпреки че тези декриптирани мостри са идвали директно от авторите на заплахата.

В хода на предполагаемата схема според прокурорите Пинхаси и неговите съучастници са посредничили при плащането на над 8 милиона долара под формата на откупи, като същевременно са таксували стотици компании в САЩ и Канада с над 19 милиона долара за услуги по възстановяване и защита.

Ако бъде признат за виновен, Пинхаси е заплашен от до 20 години затвор.

BleepingComputer се свърза с адвокатите на Пинхаси, Кристофър Кларк и Родни Вилязор, за коментар по обвиненията и ще обнови информацията при получаване на отговор.

Подобни опасения бяха повдигнати още през 2019 г.

Разследване на ProPublica от 2019 г. съобщи за сходни притеснения около MonsterCloud, включително че фирмата понякога плаща на операторите на рансъмуер, докато твърди, че предлага алтернативно решение на плащането към атакуващите.

Като част от това разследване изследователят по сигурност Фабиан Восар заяви пред ProPublica, че заедно с друг изследовател са създали собствен рансъмуер и са се свързали с няколко компании за възстановяване, представяйки се за жертви.

Изследователите предоставили на фирмите за възстановяване бележки за откуп с имейл адреси, контролирани от тях за фалшивата рансъмуер банда. Според Восар тези акаунти под контрола на уж атакуващите скоро получили анонимни съобщения с предложения за плащане на откупа.

„Скоро имейл акаунтите, които беше създал за въображаемия атакуващ, започнаха да получават имейли от анонимни адреси с предложения за плащане на откупа“, съобщи ProPublica, позовавайки се на Восар. „Той проследи заявките до фирми за възстановяване на данни, сред които MonsterCloud и Proven Data.“

ProPublica съобщи, че MonsterCloud е твърдяла, че може да възстанови криптираните файлове, без да уведоми предполагаемата жертва, че планира да плати на атакуващия.

Пинхаси оспори твърдението, че MonsterCloud е обещавала предварително, че може да декриптира файловете, и отрече да е подвеждал клиентите си.

Той също така заяви пред ProPublica, че методите за възстановяване на MonsterCloud варират според случая и отказа да ги разкрие, описвайки техниките като „търговска тайна“.