Opsporings- en handhavingsinstanties uit zeven landen hebben een hackersgroep opgerold die vanuit Oekraïne ransomware-aanvallen uitvoerde. In totaal hebben ze meer dan 1.800 slachtoffers in 71 landen wereldwijd gemaakt. Ze richtten zich doorgaans op grote bedrijven, waardoor de schade zeker enkele honderden miljoenen euro’s bedraagt.
Dat melden Europol en Eurojust, die de internationale actie coördineerden, in een gezamenlijk persbericht.
Zo gingen de hackers te werk
Op dinsdag 21 november werden er invallen gedaan in dertig panden in Oekraïne. Bij de huiszoekingen is een 32-jarige man gearresteerd, die naar verluidt het brein achter de ransomwaregroep was. Verder werden vier handlangers in de boeien geslagen. Meer dan twintig forensisch onderzoekers uit Noorwegen, Frankrijk, Duitsland en de Verenigde Staten ondersteunden de Oekraïense politie bij hun werkzaamheden.
De daders zouden verschillende rollen hebben vervuld in het criminele netwerk van de ransomwaregroep, zo stellen Europol en Eurojust. Sommigen waren betrokken bij infiltratiepogingen en gebruikten allerlei hackingtools en -technieken om inloggegevens van IT-netwerken te bemachtigen, waaronder brute force attacks, SQL-injections en phishingberichten met malafide bijlages.
Eenmaal binnen installeerden ze malware als Cobalt Strike en PowerShell Empire om -soms maandenlang- onopgemerkt in bedrijfsnetwerken rond te neuzen en toegang te behouden. Voor de cyberaanvallen vertrouwden de daders op ransomware als LockerGoga, MegaCortex, HIVE en Dharma. Daarmee zouden ze meer dan 250 servers van grote bedrijven hebben versleuteld. Slachtoffers ontvingen een losgeldbrief waarin de aanvallers, in ruil voor de decoderings- of decryptiesleutel, om bitcoins vroegen.
Internationale samenwerking
Het Joint Investigation Team (JIT) -bestaande uit handhavingsinstanties uit Noorwegen, Frankrijk, Oekraïne en het Verenigd Koninkrijk- startte in september 2019 een gezamenlijk onderzoek naar de ransomwaregroep. Dat leidde in 2021 tot diverse arrestaties. Om de omvang en complexiteit van de hackers in kaart te brengen, werd nauw samengewerkt met politiediensten uit Nederland, Duitsland, Zwitserland en de Verenigde Staten.
Europol en Eurojust sprongen niet alleen financieel bij, maar coördineerden ook de justitiële samenwerking tussen de landen. Het European Cybercrime Centre (EC3) bood ondersteuning bij vergaring en analyse van digitaal forensisch materiaal. Naast de Nationale Politie hielden ook het Landelijk Parket en het Openbaar Ministerie in ons land zich met deze zaak bezig.
