Ein Mitglied der Ryuk-Ransomware-Operation wurde zu zwei Jahren US-Bundesgefängnis verurteilt, weil er an Cyberangriffen beteiligt war, die Unternehmensnetzwerke verschlüsselten und mehr als eine Million Dollar von Opfern abzogen.
Karen Vardanyan, eine 35-jährige armenische Staatsbürgerin, erhielt eine 24-monatige Haftstrafe gefolgt von drei Jahren beaufsichtigter Entlassung. Ein Bundesrichter ordnete außerdem an, dass er 1.219.106 Dollar Schadensersatz an die von der Ransomware-Operation betroffenen Opfer zahlen muss.
Vardanyan, der die Online-Aliase “Maneeken” und “Karl Lagerfeld” verwendete, beteiligte sich von März 2019 bis etwa Juni 2020 an der Ryuk-Verschwörung. Staatsanwälte sagten, die Operation habe sich gegen Unternehmen, Schulen und andere Organisationen weltweit gerichtet, darunter auch Opfer in den Vereinigten Staaten.
Die Gruppe erhielt unbefugten Zugang zu Unternehmensnetzwerken, bevor sie Ryuk-Ransomware auf kompromittierten Servern und Arbeitsstationen einsetzte. Die Malware verschlüsselte Dateien und verhinderte die Nutzung der betroffenen Systeme, während Lösegeldbriefe die Opfer anwiesen, Kryptowährungszahlungen zu tätigen, typischerweise in Bitcoin, um Entschlüsselungsschlüssel zu erhalten.
Gerichtsakten beschrieben zuvor mehrere Angriffe, die mit Vardanyan und seinen Mitverschwörern in Verbindung standen. Ein Unternehmen aus Michigan zahlte 200 Bitcoin, die damals mehr als 1,1 Millionen Dollar wert waren, um wieder Zugang zu seinem Netzwerk zu erhalten. Die Angreifer richteten sich außerdem auf ein Unternehmen in Wilsonville, Oregon, und kompromittierten im Februar 2020 eine Schule in Texas.
Vardanyans Fall folgte auf eine internationale Initiative, Personen, die an der Ransomware-Operation beteiligt waren, zu identifizieren und strafrechtlich zu verfolgen. Eine Bundesgrandjury in Portland erhob im Februar 2024 eine umfassende Anklage gegen ihn und beschuldigte ihn wegen Verschwörung, Computerbetrugs und computerbezogener Erpressung.
Die ukrainischen Behörden nahmen Vardanyan später fest, bevor sie ihn an die Vereinigten Staaten auslieferten. Er trat erstmals im Juni 2025 vor einem Bundesgericht vor und blieb während des Strafverfahrens in Haft.
Im Juli 2026 bekannte sich Vardanyan schuldig wegen Verschwörung und Betrugs im Zusammenhang mit Computern. Sein Urteil wurde am 22. September in Oregon nach einer Untersuchung des FBI verkündet, wobei die ukrainischen Behörden US-Behörden bei der Sicherung seiner Festnahme und Auslieferung unterstützten.
Ryuk entstand 2018 und wurde dafür bekannt, größere Organisationen ins Visier zu nehmen, die in der Lage sind, erhebliche Lösegelder zu zahlen. Die Ransomware wurde bei Angriffen auf Unternehmen, Gesundheitseinrichtungen, Schulen und andere Einrichtungen eingesetzt und verursachte oft erhebliche Störungen, indem sie große Systeme verschlüsselte.
Vardanyans Anklage konzentrierte sich auf seine Beteiligung an Anschlägen zwischen 2019 und 2020 und nicht auf die vollständige Geschichte der weltweiten Aktivitäten von Ryuk. Seine 24-monatige Haftstrafe wird von drei Jahren überwachter Entlassung gefolgt, während die Entschädigungsanordnung ihn verpflichtet, mehr als 1,2 Millionen Dollar an die betroffenen Opfer zu zahlen.