В США судят владельца фирмы, которая брала деньги за устранение последствий от атак хакеров-шифровальщиков, а не деле платила хакерам выкуп и оставляла себе остаток средств

Зохар Пинхаси годами убеждал жертв хакеров, что его фирма из Флориды вернёт файлы без выплаты выкупа. Федеральные прокуроры США утверждают, что MonsterCloud на самом деле просто платила выкупы за клиентов, но по завышенным ценам.

50-летнему Пинхаси, гражданину США и Израиля из Голливуда во Флориде, в среду предъявили обвинения в федеральном суде Бруклина. Ему вменяют два эпизода мошенничества с использованием электронных средств связи и один эпизод сговора с целью совершения такого мошенничества. По каждому предусмотрено до 20 лет лишения свободы, а сама MonsterCloud LLC названа в обвинительном заключении "якобы компанией по устранению последствий атак шифровальщиков".

Пинхаси сдался властям, не признал вину и был освобождён под залог в $2 млн. Об этом сообщили в прокуратуре США.

Жительница Колорадо судится с двумя городами, полицией и создателями видеокамер Flock после ложного обвинения в краже посылки

Помощник директора ФБР Джеймс Барнакл-младший, возглавляющий нью-йоркское отделение бюро, заявил:

По версии следствия, Зохар Пинхаси утверждал, что устраняет последствия атак шифровальщиков, но никогда не боролся с самой угрозой. Вместо этого он превратил кризис жертвы в собственный источник дохода.

Как, по версии следствия, работала схема

На сайте MonsterCloud говорилось, что команда "специализируется на помощи бизнесу в восстановлении данных без уступок требованиям вымогателей". Для этого, по заверениям фирмы, применялись "передовые методы расшифровки", "передовые технологии" и "собственные инструменты". Там же предупреждали, что выплата выкупа не гарантирует возврат данных, может привлечь новую атаку и поощряет преступное поведение.

По версии прокуратуры, многие клиенты обращались именно потому, что не хотели платить киберпреступникам и не разрешили бы такой платёж. Часть заявок приходила через форму обратной связи на сайте, что в обвинительном заключении трактуют как доказательство знакомства с рекламными обещаниями фирмы. Компании нередко едва работали или несли убытки из-за заблокированных файлов, а сотни из них в итоге заплатили MonsterCloud. Клиенты находились в США и Канаде.

Ни у Пинхаси, ни у сотрудников и подрядчиков, которых следствие называет соучастниками, не было специального дешифратора. Пинхаси сам устанавливал цены и вёл переговоры с атакующими об оплате. После приёма заявки фирма предлагала этап анализа стоимостью от $2500 до $10 000 с гарантией возврата денег.

Затем клиент передавал данные по своему случаю, как правило с двумя зашифрованными файлами-образцами. Во многих случаях Пинхаси отправлял эти образцы атакующему, получал расшифрованные версии и показывал их клиенту как доказательство возможностей MonsterCloud. Полное восстановление, говорится в обвинительном заключении, было "более дорогой услугой, стоившей до двух и более раз выше суммы выкупа".

Утечка данных Пентагона затронула около 3 миллионов человек, а злоумышленники почти 10 месяцев имели доступ к базе персонала

Пинхаси, как утверждает следствие, велел сотрудникам и подрядчикам говорить "инструмент восстановления" вместо "дешифратор" и не сообщать клиентам о выплате выкупа. Пока шла работа, метод он описывал как коммерческую тайну, связанную с "собственными средствами и методами".

По данным прокуроров, сотни компаний суммарно заплатили MonsterCloud более $19 млн за восстановление данных и устранение последствий атак. Сам Пинхаси перечислил киберпреступникам более $8 млн в виде выкупов. В августе 2023 года он якобы заплатил атакующему около $8200, а клиенту выставил счёт на сумму около $150 000.

В части контрактов на полное восстановление указывалось, что MonsterCloud может связываться с киберпреступниками или платить им, но только "после того как будут исчерпаны все возможные способы прямой расшифровки файлов клиента". Следствие утверждает, что на деле контакт с атакующими был, как правило, первым шагом. Именно через него обычно получали подтверждающие образцы и ключи. Кроме того, многим клиентам не сообщали, что выкуп был выплачен.

Прокурор США Джозеф Носелла-младший заявил:

Как говорится в обвинительном заключении, ложно утверждая, что расшифровывает данные без выплат вымогателям, обвиняемый повторно сделал клиентов жертвами и получил солидную прибыль. Наше ведомство будет жёстко преследовать атакующих с программами-вымогателями, которые охотятся на американцев из-за рубежа, а также тех, кто цинично наживается на их преступной деятельности.

В документе приводится и переписка Пинхаси с представителем, который ранее оставил отзыв для сайта. В мае 2019 года тот написал ему с вопросами о методах работы и честности бизнеса и спросил, есть ли у MonsterCloud собственное ПО для расшифровки. Пинхаси якобы ответил: "У MonsterCloud нет никакой собственной технологии для расшифровки данных, затронутых шифровальщиком". Он добавил, что объяснит подробнее в телефонном разговоре.

ФБР арестовало одного из членов хакерской группировки ShinyHunters, взломавшей GTA 6

Переписка состоялась в тот же месяц, когда издание ProPublica опубликовало расследование о фирмах, обещавших высокотехнологичное восстановление данных, но обычно просто платившим хакерам. MonsterCloud оказалась одной из двух компаний в материале. Пинхаси тогда сказал изданию, что методы зависят от случая и составляют коммерческую тайну, а конкретный способ фирма никогда не обещала.

Если кто-то говорит, что мы заранее обещали расшифровать файлы, то я уверен, что это неточно. Мы работаем в тени. Как мы это делаем, наша забота. Вы получите свои данные обратно. Расслабьтесь и наслаждайтесь процессом.

Пинхаси рассказал ProPublica, что MonsterCloud встречалась с ФБР, чтобы поделиться знаниями о шифровальщиках. Джон Пистоль, бывший заместитель директора ФБР и бывший глава Управления транспортной безопасности (TSA), был тогда единственным названным членом Консультативного совета MonsterCloud по кибербезопасности. Он появился в рекламном ролике, где продвигалась "собственная технология" фирмы.

В статье ProPublica разбирались и случаи атак на местные правоохранительные органы. В городе Трумэн в штате Арканзас MonsterCloud за 72 часа восстановила десятилетия рабочих заметок по делам и данные по зарплатам, отказалась от платы около $75 000 и заверила департамент, что выкуп не платился. Начальник полиции Трумэна Чад Хенсон назвал оплату выкупа из средств налогоплательщиков "ядерным вариантом".

Сайт MonsterCloud продолжает работать и продвигает ту же идею. На странице об удалении шифровальщиков по-прежнему показан Пистоль, рассказывающий о процессе восстановления, а рядом размещены отзывы от разных полицейских департаментов. На главной странице жертвам по-прежнему советуют не платить: "Не платите выкуп. Деньги, переданные атаковавшим вас злоумышленникам, не гарантируют ничего, кроме стимула вернуться для новых атак".