Három orosz állampolgárt és két céget vádolnak kiberbűncselekmények miatt – több mint 62 millió dolláros kár az áldozatoknak

Az Egyesült Államok Igazságügyi Minisztériuma vádat emelt három orosz állampolgár – Alekszandr Voloszovík, Kirill Zatolokin és Julia Pankova – valamint két, hozzájuk köthető vállalat, a Media Land LLC és az ML.Cloud LLC ellen. A vád szerint ezek a cégek „golyóálló hosztingszolgáltatásokat” nyújtottak, amelyek lehetővé tették kiberbűnözői csoportok számára, hogy zsarolóvírusokat, adathalász támadásokat és más illegális tevékenységeket folytassanak anélkül, hogy a hatóságok könnyen lekapcsolhatták volna őket.

A nyomozás szerint az infrastruktúra több mint 62 millió dolláros kárt okozott amerikai áldozatoknak, köztük bankoknak, kórházaknak és kormányzati szerveknek. Az ügyben az amerikai külügyminisztérium akár 10 millió dolláros jutalmat is felajánlott a vádlottak külföldi kormányzati kapcsolataira vonatkozó információkért.

A „golyóálló” hoszting működése

A Media Land és az ML.Cloud infrastruktúrája a zsarolóvírus-támadások „digitális gerinceként” funkcionált 

 Parancs- és Vezérlő (C2) Szerverek Üzemeltetése: Az infrastruktúra központi szerepet játszott a zsarolóvírusok parancs- és vezérlő (C2) szervereinek hosztolásában  . Ezek a szerverek tették lehetővé a támadók számára, hogy távolról irányítsák a megfertőzött rendszereken futó kártékony szoftvereket és menedzseljék a támadási kampányokat  .

Adatok Kiszivárogtatása (Exfiltráció): Az infrastruktúrát a megtámadott hálózatokból ellopott érzékeny adatok tárolására is használták  . Ez kulcsfontosságú volt a kettős zsarolási modellhez, ahol a támadók az adatok titkosítása mellett azok közzétételével is fenyegetőznek  .

A Zsarolási Folyamat Támogatása: A szolgáltatás elengedhetetlen volt a teljes zsarolási művelethez, amely magában foglalta a célpontok megfertőzését, a zsarolóvírus telepítését és a váltságdíj követelését  . Bár a források nem részletezik, hogy közvetlenül az adatszivárogtató oldalakat (leak sites) is itt hosztolták-e, a hálózat nélkülözhetetlen volt a teljes folyamathoz  .

A CISA és az FBI a nyomozás során feltárt technikai részletek alapján konkrét javaslatokat tett a védekezésre, kiemelve a cégekhez köthető autonóm rendszer (AS) számok blokkolásának fontosságát 

Támogatott kiberbűnözői csoportok és módszerek

A Media Land és az ML.Cloud infrastruktúráját olyan hírhedt zsarolóvírus‑csoportok használták, mint a LockBit, a BlackSuit és a Play.
A támadások során zsarolóvírusokat, adathalász kampányokat, brute‑force jelszótöréseket és DDoS támadásokat hajtottak végre.
A cégek emellett illegális online piactereket is hosztoltak, ahol lopott kártyaadatokkal és hozzáférésekkel kereskedtek.

Érdekesség, hogy a LockBit csoport egyik szerverét a hatóságok azért tudták feltörni, mert elhanyagolták a PHP frissítését – ez rávilágít arra, hogy még a legfejlettebb bűnözői infrastruktúrák is sebezhetőek.

Tanulságok az IT biztonsági szakemberek számára

Az eset rávilágít, hogy a kiberbűnözés nemcsak a támadókról szól, hanem az őket támogató infrastruktúra‑szolgáltatókról is.
A védekezésnek ezért a teljes fenyegetési láncot kell figyelembe vennie.

Főbb tanulságok:

• Fenyegetés‑intelligencia: a gyanús hosztingszolgáltatók IP‑tartományainak és domainjeinek figyelése, proaktív blokkolása.
• Többrétegű védelem: Secure DNS, többfaktoros hitelesítés (MFA), végpontvédelem és hálózati szegmentáció.
• Rendszeres biztonsági mentések: offline vagy elkülönített tárolással.
• Proaktív sérülékenységkezelés: a szoftverfrissítések elmulasztása súlyos kockázatot jelent.
• Incidensreagálási terv: naprakész, tesztelt folyamat a gyors helyreállításhoz.

Összegzés

A szentpétervári központú cégek egy tudatosan felépített „golyóálló” hosztingszolgáltatást működtettek, amelynek keretében aktívan támogatták a kiberbűnözőket – köztük olyan hírhedt zsarolóvírus-csoportokat, mint a LockBit, a BlackSuit és a Play – zsarolóvírus-támadások, adathalászat és más illegális tevékenységek végrehajtásában. Üzleti modelljük az anonimitás biztosítására, a hatósági megkeresések figyelmen kívül hagyására és a globálisan szétszórt infrastruktúrára épült, amely a támadások technikai gerincét adta.

A nemzetközi válaszlépés több pilléren nyugszik: az amerikai igazságügyi minisztérium vádemelésén, az USA, az Egyesült Királyság, Ausztrália és az EU által bevezetett összehangolt szankciókon, valamint az amerikai külügyminisztérium által felajánlott 10 millió dolláros nyomravezetői díjon. Bár közvetlen bizonyítékot még nem tártak a nyilvánosság elé, a hatóságok erős gyanúja szerint a hálózatnak orosz állami kapcsolatai is lehettek. Ezt támasztja alá a jutalomprogram célzott felhívása, valamint az a tény, hogy a cég vezetőit az EU és az Egyesült Királyság is az orosz katonai hírszerzés (GRU) tagjaival egy időben vagy egy listán szankcionálta.