EE.UU., Australia y el Reino Unido toman medidas contra el grupo de Ransomware Evil Corp

La Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de Estados Unidos ha sancionado hoy a siete personas y dos entidades asociadas al grupo ciberdelictivo ruso Evil Corp, en el marco de una acción coordinada con la Oficina de Asuntos Exteriores, Commonwealth y Desarrollo (FCDO) del Reino Unido y el Departamento de Asuntos Exteriores y Comercio (DFAT) de Australia. Evil Corp, dirigido por Maksim Viktorovich Yakubets, tiene un largo historial de ciberdelincuencia, que se remonta a 2009, cuando desarrolló por primera vez el programa malicioso Dridex, utilizado para robar credenciales bancarias y cometer fraudes financieros. Sus operaciones han afectado a más de 40 países, causando más de 100 millones de dólares en pérdidas financieras, afectando principalmente a bancos, sanidad y sectores de infraestructuras críticas. 

El Reino Unido designó a 16 y Australia a tres miembros y afiliados de Evil Corp.

Una de las personas sancionadas por la OFAC fue Aleksandr Viktorovich Ryzhenkov, afiliado del Ransomware LockBit y también conocido por el apodo de "Beverley", por su participación, junto con el fundador de Evil Corp, Maksim Viktorovich Yakubets, en las operaciones del grupo. 

Además de las sanciones, el Department of Justice de EE.UU.dio a conocer una acusación contra Ryzhenkov, de nacionalidad rusa, por su participación en el despliegue del ransomware BitPaymer para atacar a múltiples víctimas en Texas y en todo EE.UU. A partir de junio de 2017, Ryzhenkov supuestamente obtuvo acceso no autorizado a las redes de las víctimas, cifró sus datos utilizando el ransomware y exigió grandes rescates para restaurar el acceso y evitar la divulgación pública de información sensible.

La acusación detalla cómo Ryzhenkov y sus cómplices utilizaron phishing, malware y vulnerabilidades del sistema para extorsionar millones de dólares a empresas estadounidenses.

Federal Bureau of Investigation Estados Unidos, la Agencia Nacional contra el Crimen del Reino Unido y la Policía Federal Australiana también publicaron un informe detallado titulado Evil Corp: Behind the Scenes, que profundiza en las tácticas, la historia, la jerarquía organizativa y los estrechos vínculos del grupo con el Estado ruso. 

Las acciones de hoy coinciden con el segundo día de la cumbre de la Iniciativa contra el Ransomware organizada por Estados Unidos, en la que participan más de 50 países que colaboran para contrarrestar la amenaza del ransomware. TRM Labs tiene el honor de haber participado en la cumbre.

Evil Corp, también conocida como Indrik Spider, fue fundada por Yakubets, que opera bajo el alias de "Aqua" y es actualmente uno de los ciberdelincuentes más buscados, con una recompensa de 5 millones de dólares por su cabeza. El grupo, organizado como una familia criminal tradicional, incluye a varios miembros de la familia de Yakubets, como su padre, Viktor Yakubets, y otros asociados como Aleksandr Viktorovich Ryzhenkov, su segundo al mando. Empleaban tácticas muy profesionales, como el uso de redes de mulas de dinero, el comercio de criptomonedas y empresas tapadera, para blanquear las ganancias de sus actividades cibernéticas. En su apogeo, Evil Corp operaba desde sedes físicas en Moscú y mantenía relaciones sociales y comerciales muy estrechas, lo que ponía de manifiesto su tupida estructura operativa. Evil Corp y Yakubets fueron sancionados por la OFAC en 2019.

Evolución y operaciones de Evil Corp

La historia de Evil Corp se remonta a sus inicios como parte de The Business Club, un grupo de ciberdelincuentes especializado en fraudes bancarios. A partir de 2009, Yakubets colaboró con otros ciberdelincuentes conocidos, como Evgeniy Bogachev, para desplegar malware como Jabber Zeus y GameOverZeus. En 2014, Evil Corp se convirtió por completo en un grupo delictivo organizado (OCG) con la introducción de Dridex, que se convirtió en una de las cepas de malware más prolíficas jamás desarrolladas. Evil Corp también introdujo el ransomware en su cartera, comenzando con BitPaymer en 2017.

En 2019, las fuerzas de seguridad de Estados Unidos y Reino Unido interrumpieron las operaciones de Evil Corp mediante sanciones y acusaciones, lo que obligó al grupo a adaptar sus tácticas. Tras esta interrupción, el grupo se dividió, y una facción, liderada por Igor Turashev, desarrolló el ransomware DoppelPaymer. Los miembros restantes, bajo el mando de Yakubets, desarrollaron nuevas variedades de ransomware como WastedLocker, Hades y Phoenix Locker, lo que demuestra la capacidad de adaptación del grupo.

El nexo criptográfico

El análisis de TRM de la actividad en la cadena proporciona información adicional sobre la actividad financiera de los grupos de ransomware . Históricamente, los grupos de ransomware han utilizado Bitcoin como criptomoneda principal para facilitar el pago de rescates. Pero los grupos también buscan opciones de pago con privacidad mejorada, como ZCash o Monero, tanto para cobrar a las víctimas como para pagar a sus afiliados.

El análisis en cadena de la actividad del ransomware pone de relieve las estructuras operativas típicas ransomware ransomware, en las que los pagos iniciales de rescate de las víctimas sufren una división financiera: el 80% suele ir al afiliado y el 20% a los administradores del grupo de ransomware . Los grupos de Ransomware suelen utilizar mezcladores y múltiples intercambios no custodiados y VASP centralizados en Estados Unidos y Asia para blanquear los fondos de las víctimas.

Según TRM Labsla dirección de criptodivisas de Ryzhenjov estaba muy expuesta a grupos delictivos, como conocidos autores de ransomware que cobraban tanto a proveedores de servicios de activos virtuales que cumplían las normas como a entidades sancionadas como Cryptex.net.

Vínculoscon el Estado ruso

La relación de Evil Corp con los servicios de inteligencia rusos ha sido extensa. Mientras que la mayoría de los grupos de ciberdelincuentes operan de forma independiente, el grupo de Yakubets trabajaba directamente con el FSB, el SVR y la GRU para llevar a cabo espionaje y ciberataques contra aliados de la OTAN. Eduard Benderskiy, ex alto cargo de la unidad secreta Vympel del FSB, facilitaba estas relaciones, garantizando a Evil Corp la protección y asistencia del Estado ruso. Esta posición privilegiada permitió a Evil Corp continuar sus operaciones con escasa interferencia de las autoridades rusas.

Implicaciones de las sanciones

Las sanciones de octubre de 2024, junto con las designaciones concurrentes del Reino Unido y Australia, forman parte de un esfuerzo internacional más amplio para combatir el ransomware y la ciberdelincuencia. Como resultado de estas sanciones, los activos de las personas y entidades designadas están congelados, y las personas estadounidenses tienen prohibido realizar transacciones con ellos. Las instituciones financieras y otras empresas que se relacionen con estas personas se arriesgan a sanciones y acciones coercitivas. La cumbre de hoy de la Iniciativa contra Ransomware , en la que participan más de 50 países, refuerza aún más la colaboración mundial para desmantelar redes de ciberdelincuentes como Evil Corp.

Conclusión

La historia de Evil Corp ejemplifica la evolución de la amenaza que suponen las organizaciones de ciberdelincuentes con vínculos estatales. Durante más de una década, el grupo se ha adaptado a las acciones de las fuerzas de seguridad, desarrollando nuevo malware y ransomware para continuar sus operaciones. Sin embargo, las sanciones y la continua presión de las fuerzas de seguridad internacionales han obstaculizado su capacidad para operar. En 2024, las acciones coordinadas de Estados Unidos, Reino Unido y Australia demuestran que los intentos de Evil Corp por eludir el escrutinio no quedarán sin respuesta, ya que los gobiernos siguen comprometidos con la interrupción de sus operaciones y la protección de las infraestructuras críticas frente al ransomware y las ciberamenazas.

‍