Владельцу компании MonsterCloud, специализирующейся на восстановлении инфры после атак вымогателей, предъявили обвинение в мошенничестве.

Как оказалось, он практиковал тайную оплату услуг злоумышленников за дешифраторы, при этом заверяя своих жертв, пострадавших также и от вымогателей, что для восстановления зашифрованных данных используется собственная технология.

50-летний Зохар Пинхаси, также известный как Зак Сильвер и Зак Грин, предстал перед федеральным большим жюри Восточного округа Нью-Йорка 23 сентября и в среду - перед федеральным судом в Бруклине.

Ему предъявлено обвинение по одному пункту в сговоре с целью совершения мошенничества с использованием электронных средств связи и по двум пунктам в мошенничестве с использованием электронных средств связи в связи с предполагаемой схемой расшифровки данных в инцидентах с ransomware, по которой, по словам прокуроров, он работал с июня 2018 года по июнь 2023 года.

Прокуратура США сообщила, что Пинхаси сдался властям в среду, не признал себя виновным и был освобожден под залог в 2 млн. долл.

Согласно обвинительному заключению, он владел и управлял компанией MonsterCloud LLC, расположенной во Флориде, и занимался устранением последствий атак вымогателей, продвигая инструменты и методы расшифровки для восстановления зашифрованных данных без уплаты выкупа киберпреступникам.

По мнению прокуратуры, Пинхаси и ряд его сообщников (Кристофер Кларк и Родни Вильязор) не имели никакой запатентованной технологии расшифровки, и вместо этого они связались с операторами, платили им за ключи расшифровки, а затем использовали эти ключи для восстановления файлов клиентов.

В некоторых контрактах MonsterCloud указывалось, что компания может связываться с киберпреступниками или платить им. Однако в этих контрактах якобы утверждалось, что MonsterCloud будет связываться со злоумышленниками только в том случае, если не сможет расшифровать файлы клиента другими способами.

По утверждению следствия, MonsterCloud взимала с клиентов гораздо больше, чем выплачивала в качестве выкупа.

В частности, в одном из таких случаев, упомянутом в обвинительном заключении, Пинхаси якобы заплатил группе вымогателей около 8200 долл., но от жертвы потребовал примерно 150 000 долл. В другом он заплатил около 236 000 долл. и потребовал от клиента около 380 000 долл.

MonsterCloud использовала расшифрованные образцы файлов в качестве «доказательств восстановления», чтобы убедить жертв в возможности восстановления их данных, хотя эти расшифрованные образцы были получены от самих хакеров в качестве пруфов кражи.

По мнению прокуратуры, Пинхаси с сообщниками провели выплату выкупа на сумму более 8 млн. долл., выставив счета сотням компаний в США и Канаде на сумму более 19 млн. долл. за услуги по восстановлению и ликвидации последствий.

В случае признания виновным Пинхаси грозит до 20 лет тюремного заключения.

Схема вскрылась еще в 2019 году в ходе расследования ProPublica в отношении MonsterCloud. Тогда исследователь Фабиан Восар на пару с другом провернули оперативный эксперимент и заловили мошенников с поличным.

Они создали собственное программное обеспечение-вымогатель и обратились в несколько компаний по восстановлению данных, выдавая себя за жертв. Исследователи предоставили компаниям по восстановлению данных записки с требованием выкупа, содержащие адреса электронной почты.

По словам Восара, на них вскоре начали поступать анонимные сообщения с предложением заплатить выкуп. Дальнейший деанон посредников вывел исследователей на MonsterCloud и Proven Data.

Резюмируя, можно официально назвать формат «ransomware и MonsterCloud» схемой тройного вымогательства, где жертву разводят при любом раскладе.