CEO บริษัทที่รับกู้คืนข้อมูลจาก Ransomware ถูกตั้งข้อหาแอบจ่ายค่าไถ่ให้ผู้โจมตี

 

เจ้าของบริษัทให้บริการกู้คืนระบบจาก Ransomware อย่าง MonsterCloud ถูกตั้งข้อหาในคดีที่ถูกกล่าวหาว่าหลอกลวงเหยื่อ Ransomware ด้วยการแอบจ่ายเงินให้ผู้โจมตีเพื่อแลกกับ Decryptor ขณะที่อ้างว่าใช้เทคโนโลยีเฉพาะของบริษัทในการกู้คืนข้อมูลที่ถูกเข้ารหัส

Zohar Pinhasi วัย 50 ปี ซึ่งเป็นที่รู้จักในชื่อ “Zack Silver” และ “Zack Green” ถูกคณะลูกขุนใหญ่ของรัฐบาลกลาง (Federal Grand Jury) ในเขต Eastern District of New York ตั้งข้อหาเมื่อวันที่ 23 กันยายน และถูกนำตัวขึ้นศาลรัฐบาลกลางใน Brooklyn เมื่อวันพุธที่ผ่านมา

Pinhasi ถูกตั้งข้อหาสมคบคิดเพื่อกระทำ Wire Fraud จำนวน 1 กระทง และ Wire Fraud อีก 2 กระทง จากกรณี Scheme การ Decryption ของ Ransomware ที่ถูกกล่าวหาว่าดำเนินการตั้งแต่เดือนมิถุนายน 2018 ถึงเดือนมิถุนายน 2023

สำนักงานอัยการสหรัฐฯ (U.S. Attorney’s Office) เปิดเผยกับ BleepingComputer ว่า Pinhasi เข้ามอบตัวเมื่อวันพุธ ให้การปฏิเสธข้อกล่าวหา และได้รับการปล่อยตัวโดยวางหลักประกันมูลค่า 2 ล้านดอลลาร์

ตามคำฟ้อง Pinhasi เป็นเจ้าของ และดำเนินธุรกิจ MonsterCloud LLC ซึ่งเป็นบริษัทด้าน Ransomware Remediation ในรัฐ Florida โดยบริษัทโฆษณาว่ามีเครื่องมือ และเทคนิค Decryption สำหรับกู้คืนข้อมูลที่ถูกเข้ารหัสโดยไม่จำเป็นต้องจ่ายเงินให้ Cybercriminals

อัยการกล่าวหาว่า Pinhasi และผู้สมคบคิดไม่มีเทคโนโลยี Decryption ที่เป็นกรรมสิทธิ์ดังกล่าว แต่กลับติดต่อกลุ่มผู้ดำเนินการ Ransomware เพื่อจ่ายเงินแลกกับ Decryption Key จากนั้นจึงนำ Key เหล่านั้นมาใช้กู้คืนไฟล์ของลูกค้า

คำฟ้องระบุว่า สัญญาบางฉบับของ MonsterCloud มีการเปิดเผยว่าบริษัทอาจติดต่อ หรือจ่ายเงินให้ Cybercriminals อย่างไรก็ตาม สัญญาดังกล่าวระบุว่า MonsterCloud จะติดต่อผู้โจมตีก็ต่อเมื่อไม่สามารถ Decrypt ไฟล์ของลูกค้าด้วยวิธีอื่นได้

อัยการระบุว่า ในทางปฏิบัติ การติดต่อกับ Cybercriminals มักเป็นขั้นตอนแรกของ MonsterCloud ในการขอ Decryption Key และกู้คืนไฟล์ของลูกค้า

Joseph Nocella Jr. อัยการสหรัฐฯ ระบุว่า “ตามที่ถูกกล่าวหาในคำฟ้อง จำเลยหลอกลวงลูกค้าด้วยการอ้างว่าสามารถ Decrypt Ransomware ได้โดยไม่ต้องจ่ายเงินให้กลุ่มผู้เรียกค่าไถ่ ส่งผลให้ลูกค้าของเขาตกเป็นเหยื่อซ้ำอีกครั้ง ขณะที่ตัวเขาเองสามารถสร้างผลกำไรมหาศาล”

“สำนักงานของเราจะดำเนินคดีอย่างเต็มที่กับผู้โจมตีด้วย Ransomware ที่มุ่งเล่นงานชาวอเมริกันจากทั่วโลก รวมถึงผู้ที่ฉวยโอกาสสร้างผลกำไรจากกิจกรรมทางอาญาของพวกเขาอย่างไร้ความปรานี”

มีการกล่าวหาว่า MonsterCloud เรียกเก็บเงินจากลูกค้าในจำนวนที่สูงกว่าค่าไถ่ที่บริษัทจ่ายให้กับผู้โจมตีอย่างมาก

ในเหตุการณ์ Ransomware Recovery หนึ่งกรณีที่ระบุไว้ในคำฟ้อง Pinhasi ถูกกล่าวหาว่าจ่ายเงินให้กลุ่ม Ransomware ประมาณ 8,200 ดอลลาร์ และเรียกเก็บเงินจากเหยื่อประมาณ 150,000 ดอลลาร์ ขณะที่อีกกรณีหนึ่ง อัยการระบุว่า เขาจ่ายเงินประมาณ 236,000 ดอลลาร์ และเรียกเก็บเงินจากลูกค้าประมาณ 380,000 ดอลลาร์

คำฟ้องยังระบุว่า MonsterCloud ใช้ไฟล์ตัวอย่างที่ถูก Decrypt แล้วเป็น “Recovery Proof” เพื่อโน้มน้าวเหยื่อว่าบริษัทสามารถกู้คืนข้อมูลของพวกเขาได้ ทั้งที่ไฟล์ตัวอย่างเหล่านั้นถูก Decrypt มาจากฝั่งผู้ดำเนินการ Ransomware

ตลอดช่วงเวลาที่ถูกกล่าวหาว่าดำเนินโครงการดังกล่าว อัยการระบุว่า Pinhasi และผู้สมคบคิดช่วยอำนวยความสะดวกในการจ่าย Ransom มากกว่า 8 ล้านดอลลาร์ ขณะเดียวกันเรียกเก็บเงินจากบริษัทหลายร้อยแห่งในสหรัฐฯ และแคนาดามากกว่า 19 ล้านดอลลาร์ สำหรับบริการ Recovery และ Remediation

หากถูกตัดสินว่ามีความผิด Pinhasi อาจได้รับโทษจำคุกสูงสุด 20 ปี

เคยมีข้อกังขาในลักษณะเดียวกันนี้ตั้งแต่ปี 2019

การสอบสวนของ ProPublica ในปี 2019 รายงานข้อกังวลในลักษณะเดียวกันเกี่ยวกับ MonsterCloud โดยระบุว่าบางครั้งบริษัทจ่ายเงินให้ผู้ดำเนินการ Ransomware ทั้งที่อ้างว่าสามารถกู้คืนข้อมูลได้ด้วยวิธีอื่นโดยไม่ต้องจ่ายเงินให้ผู้โจมตี

ในการสอบสวนดังกล่าว Fabian Wosar นักวิจัยด้านความปลอดภัยทางไซเบอร์ เปิดเผยกับ ProPublica ว่าเขา และนักวิจัยอีกคนสร้าง Ransomware ขึ้นมาเอง และติดต่อบริษัท Recovery หลายแห่งโดยแสร้งทำเป็นเหยื่อของ Ransomware

นักวิจัยส่ง Ransom Note ให้บริษัท Recovery เหล่านั้น โดยภายในระบุ Email Address ที่อยู่ภายใต้การควบคุมของพวกเขา และอ้างว่าเป็นของกลุ่ม Ransomware ปลอม จากข้อมูลของ Wosar บัญชีที่ควบคุมโดยฝั่งผู้โจมตีเหล่านี้ได้รับข้อความนิรนามเสนอที่จะจ่ายค่าไถ่ในเวลาต่อมาไม่นาน

“ไม่นาน บัญชีอีเมลที่เขาสร้างขึ้นสำหรับผู้โจมตีในจินตนาการก็เริ่มได้รับอีเมลจาก Address ที่ไม่เปิดเผยตัวตน ซึ่งเสนอที่จะจ่ายค่าไถ่” ProPublica รายงานโดยอ้างคำกล่าวของ Wosar ว่า “เขาติดตามคำขอเหล่านั้นกลับไปยังบริษัท Data Recovery ซึ่งรวมถึง MonsterCloud และ Proven Data”

ProPublica รายงานว่า MonsterCloud เคยอ้างว่าสามารถกู้คืนไฟล์ที่ถูกเข้ารหัสได้ โดยไม่ได้แจ้งเหยื่อที่บริษัทสมมติขึ้นมาว่าบริษัทมีแผนจะจ่ายเงินให้ผู้โจมตี

Pinhasi โต้แย้งว่า MonsterCloud ไม่เคยรับประกันล่วงหน้าว่าจะสามารถ Decrypt ไฟล์ได้ และปฏิเสธว่าบริษัททำให้ลูกค้าเข้าใจผิด

นอกจากนี้ เขายังบอกกับ ProPublica ว่าวิธีการ Recovery ของ MonsterCloud แตกต่างกันไปในแต่ละกรณี และปฏิเสธที่จะเปิดเผยรายละเอียด โดยอธิบายว่าเทคนิคเหล่านั้นเป็น “Trade Secret”

ที่มา : bleepingcomputer