Europol actie tegen ransomware aanval plegers

In totaal 12 personen die over de hele wereld vernielingen aanrichtten met ransomware-aanvallen op kritieke infrastructuur zijn het doelwit geworden van een operatie van rechtshandhaving en justitie, waarbij acht landen betrokken waren – meldt Europol.

Deze aanvallen zouden meer dan 1.800 slachtoffers in 71 landen hebben getroffen. Deze cyberactoren staan erom bekend dat zij zich specifiek richten op grote ondernemingen, waardoor hun activiteiten feitelijk tot stilstand worden gebracht. De acties vonden plaats in de vroege uren van 26 oktober 2021 in Oekraïne en Zwitserland. De meeste van deze verdachten worden beschouwd als doelwitten met een hoge waarde, omdat er onderzoek naar hen wordt gedaan in meerdere geruchtmakende zaken in verschillende rechtsgebieden.

Als resultaat van de actiedag werd meer dan 52.000 USD (44.830 Euro) in contanten in beslag genomen, naast 5 luxe voertuigen. Een aantal elektronische apparaten wordt momenteel forensisch onderzocht om bewijsmateriaal veilig te stellen en nieuwe sporen in het onderzoek te vinden. De verdachten die het doelwit vormden, hadden allemaal een andere rol in deze professionele, sterk georganiseerde criminele organisaties. Sommige van deze criminelen hielden zich bezig met de penetratie-inspanning en gebruikten meerdere mechanismen om IT-netwerken te compromitteren, waaronder brute krachtaanvallen, SQL-injecties, gestolen credentials en phishing-e-mails met kwaadaardige bijlagen.

Eenmaal op het netwerk richtten sommige van deze cyberactoren zich op laterale verplaatsing, waarbij ze malware zoals Trickbot of post-exploitation-frameworks zoals Cobalt Strike of PowerShell Empire inzetten om onopgemerkt te blijven en verdere toegang te verkrijgen. De criminelen blijven dan onopgemerkt in de besmette systemen, soms maandenlang, op zoek naar meer zwakke plekken in de IT-netwerken voordat ze de infectie te gelde maken door ransomware in te zetten. Van deze cyberactoren is bekend dat zij onder meer LockerGoga, MegaCortex en Dharma ransomware hebben ingezet.

De effecten van de ransomware-aanvallen waren verwoestend omdat de criminelen de tijd hadden gehad om onopgemerkt de IT-netwerken te verkennen. Vervolgens werd aan het slachtoffer een losgeldbriefje gepresenteerd, waarin werd geëist dat het slachtoffer de aanvallers in Bitcoin betaalde in ruil voor decryptiesleutels. Een aantal van de ondervraagde personen wordt ervan verdacht verantwoordelijk te zijn voor het witwassen van de losgeldbetalingen: zij sluisden de Bitcoin- losgeldbetalingen door via mengdiensten, alvorens de onwettig verkregen winsten te verzilveren.

Internationale samenwerking, gecoördineerd door Europol en Eurojust, stond centraal bij het identificeren van deze dreigingsactoren, aangezien de slachtoffers zich op verschillende geografische locaties in de wereld bevonden. Op initiatief van de Franse autoriteiten werd in september 2019 een gezamenlijk onderzoeksteam (GOT) opgericht tussen Noorwegen, Frankrijk, het Verenigd Koninkrijk en Oekraïne, met financiële steun van Eurojust en bijstand van beide agentschappen. De partners in het JIT werken sindsdien nauw samen, parallel aan de onafhankelijke onderzoeken van de Nederlandse en Amerikaanse autoriteiten, om de werkelijke omvang en complexiteit van de criminele activiteiten van deze cyberactoren bloot te leggen en een gezamenlijke strategie op te stellen.

Eurojust heeft een coördinatiecentrum opgericht om de grensoverschrijdende justitiële samenwerking tijdens de actiedag te vergemakkelijken. Ter voorbereiding hiervan werden zeven coördinatievergaderingen gehouden. Het Europees Centrum voor de bestrijding van cybercriminaliteit (EC3) van Europol organiseerde operationele bijeenkomsten, bood ondersteuning op het gebied van digitaal forensisch onderzoek, cryptocurrency en malware en faciliteerde de informatie-uitwisseling in het kader van de Joint Cybercrime Action Taskforce (J-CAT), die in het hoofdkantoor van Europol in Den Haag is ondergebracht.

Meer dan 50 buitenlandse rechercheurs, waaronder zes Europol-specialisten, werden voor de actiedag naar Oekraïne gestuurd om de nationale politie te helpen bij het uitvoeren van gezamenlijke opsporingsmaatregelen. Ook werd een Oekraïense cyberpolitiefunctionaris gedurende twee maanden bij Europol gedetacheerd om de actiedag voor te bereiden. Deze operatie werd uitgevoerd in het kader van het Europees Multidisciplinair Platform tegen Criminele Dreigingen (EMPACT).

Ransomware is een type malware uit de cryptoviruswereld dat dreigt de persoonlijke gegevens van het slachtoffer openbaar te maken of de toegang ertoe permanent te blokkeren tenzij er losgeld wordt betaald. Hoewel sommige eenvoudige ransomware het systeem kan vergrendelen zodat het niet moeilijk is voor een goed geïnformeerde persoon om het ongedaan te maken, gebruikt meer geavanceerde malware een techniek die cryptovirale afpersing wordt genoemd. Het versleutelt de bestanden van het slachtoffer, waardoor ze ontoegankelijk worden, en eist losgeld om ze te ontsleutelen. Bij een goed uitgevoerde cryptovirale afpersingsaanval is het terughalen van de bestanden zonder de ontsleutelingssleutel een hardnekkig probleem - en moeilijk te traceren digitale valuta zoals paysafecard of Bitcoin en andere cryptocurrencies die voor het losgeld worden gebruikt, waardoor het traceren en vervolgen van de daders moeilijk wordt.

De volgende autoriteiten namen deel aan deze operatie: Noorwegen: Nationale recherche (Kripos), Frankrijk: Openbaar Ministerie van Parijs, nationale politie (Police Nationale - OCLCTIC), Nederland: Nationale politie (Politie), Landelijk Parket (Openbaar Ministerie), Oekraïne: Bureau van de procureur-generaal (Офіс Генерального прокурора), Nationale politie van Oekraïne (Національна поліція України), Verenigd Koninkrijk: Politie Schotland, Nationaal Criminaliteitsbureau (NCA), Duitsland: Hoofdbureau van politie Reutlingen (Polizeipräsidium Reutlingen). Zwitserland: Federale Politie (fedpol), Polizei Basel-Landschaft, Verenigde Staten: Verenigde Staten Geheime Dienst (USSS), Federal Bureau of Investigations (FBI), Europol: Europees Centrum voor de bestrijding van cybercriminaliteit (EC3) en Eurojust.

Het Europees Centrum voor de bestrijding van cybercriminaliteit (EC3 of EC³) is het orgaan van de politiedienst (Europol) van de Europese Unie (EU), met hoofdkwartier in Den Haag, dat grensoverschrijdende rechtshandhavingsactiviteiten tegen computercriminaliteit coördineert en optreedt als centrum van technische deskundigheid op dit gebied.