Uderzenie w grupę KillSec. Międzynarodowy sukces służb

Grupa Kill Security Ransomware – znana jako KillSec – od 2024 roku włamywała się do systemów swoich ofiar w celu kradzieży danych. Działania umożliwiały podatności znajdujące się w zaatakowanych urządzeniach. Sprawcy publikowali próbkę skradzionych plików na swojej stronie w darkwebie jako dowód ataku, a następnie zwracali się do swoich ofiar z żądaniem okupu pod groźbą opublikowania wszystkich wykradzionych danych.

Międzynarodowa akcja w sieci i w Europie

W końcówce września działalnością hakerów zajęły się służby. Według informacji opublikowanych przez Prokuraturę Federalną, w ramach międzynarodowej operacji KillSwitch przejęto infrastrukturę cyfrową grupy hakerskiej oraz stronę internetowa KillSec wraz z ulokowanymi na niej 110 TB danych. Podczas przeszukań nieruchomości w czterech krajach zabezpieczono z kolei mienie przestępców oraz dowody w sprawie.

Podczas operacji aresztowano również trzy osoby. Wśród nich znalazł się obywatel Holandii, który mieszkał w Wielkiej Brytanii. Według cytowanego w komunikacie p.o. prokuratora federalnego okręgu Portoryko Hectora Ramireza-Carbo, Fouad Eltibrizi ps. „Archduke” miał działać w ramach KillSec, przeprowadzając ataki na firmy oraz inne organizacje razem z pozostałymi członkami grupy.

„Ransomware nadal stanowi poważne i stale ewoluujące zagrożenie dla wszystkich sektorów naszej gospodarki, od infrastruktury krytycznej po małe przedsiębiorstwa” – podkreślił Ramirez-Carbo, deklarując dalsze działania i współpracę z partnerami w tym zakresie.

Atakujący byli nastolatkami

Oprócz FBI, w operacji wzięły także udział służby z Niemiec, Hiszpanii, Wielkiej Brytanii, Rumunii, Grecji, Belgii i Szwajcarii, a także Europol oraz Eurojust. Wsparcie w działaniach zapewnili natomiast funkcjonariusze holenderscy. Dział cyber agencji federalnej wskazał we wpisie na X (dawnym Twitterze), że uderzenie ograniczyło zdolność grupy do odbudowy oraz jej zasięg operacyjny. Zmniejszono tym samym prawdopodobieństwo kolejnych ataków.

Sam Europol poinformował z kolei, że w śledztwie dotyczącym KillSec zidentyfikowano kilku podejrzanych: administratora, dewelopera, negocjatora oraz „osobę stowarzyszoną”. Szef grupy hakerskiej ma zaledwie 16 lat, zaś podejrzany deweloper osiągnął pełnoletność dopiero w sierpniu tego roku. Sprawcy mieli również wykorzystywać sztuczną inteligencję do budowy swojej infrastruktury i wybierania potencjalnych ofiar.

Sprawcy cyberataków nie unikną kary

W połowie września federalna ława przysięgłych w okręgu Puerto Rico przedstawiła akt oskarżenia przeciwko Eltibriziemu. Wśród zarzutów znalazło się m.in. celowe uzyskanie nieautoryzowanego dostępu do systemu dla korzyści majątkowej czy wysyłanie gróźb w celu uzyskania informacji z zamiarem wymuszenia.

Dokumenty wskazują, że w marcu 2025 roku KillSec wykradł 180 GB danych z podmiotu medycznego w Portoryko. Ponieważ organizacja nie odpowiadała na żądania okupu przedstawione przez sprawców, wykradzione pliki zostały przez nich opublikowane w darkwebie. Celem grupy były również podmioty w Luizjanie, Kalifornii czy stanie Waszyngton. Na całym świecie miała ona w sumie przeprowadzić tysiąc cyberataków, z czego połowę do tej pory potwierdzono.

Obecnie Fouad Eltibrizi oczekuje na ekstradycję do Stanów Zjednoczonych. Jeżeli postawione mu zarzuty zostaną potwierdzone, będzie mu grozić do 10 lat pozbawienia wolności. Cytowany w komunikacie prokuratury Carlos R. Goris, agent specjalny kierujący biurem FBI w San Juan wskazał, że cyberprzestępstwa „nie pozostaną bezkarne”.

„Będziemy nadal wytrwale wyszukiwać i stawiać przed sądem osoby, które wykorzystują nasze środowiska cyfrowe, niezależnie od tego, gdzie prowadzą swoją działalność” – dodał Goris, zachęcając do zgłaszania incydentów cyberbezpieczeństwa.