Un’operazione internazionale di polizia ha smantellato infrastrutture chiave appartenenti al gruppo ransomware KillSec, con gli investigatori che hanno identificato un sedicenne come il sospettato principale operatore di una campagna di crimini informatici collegata a centinaia di attacchi riusciti.
L’azione coordinata si è svolta il 30 settembre nell’ambito Operation KillSwitch di un’indagine guidata dalle autorità tedesche. La polizia ha effettuato otto perquisizioni in Spagna, Grecia, Romania e Regno Unito, mentre tre sospetti sono stati arrestati provvisoriamente e sono stati sequestrati prove e beni.
Le autorità hanno inoltre ottenuto il controllo di cinque server centrali utilizzati da KillSec. L’infrastruttura sequestrata includeva sistemi utilizzati per gestire le operazioni del gruppo e memorizzare le informazioni rubate alle vittime, mentre i domini di KillSec sono stati reindirizzati a un avviso di sequestro delle forze dell’ordine.
Almeno 110 terabyte di informazioni rubate sono stati messi in sicurezza durante l’operazione, impedendo ulteriori accessi non autorizzati attraverso l’infrastruttura ora controllata dalle autorità. Gli investigatori stanno esaminando i sistemi sequestrati per identificare ulteriori vittime e potenzialmente scoprire altre persone coinvolte nell’operazione.
KillSec è attiva dal 2024 circa ed è sospettata di aver compiuto circa 1.000 attacchi in tutto il mondo. Gli investigatori hanno finora classificato circa 500 di questi attacchi come riusciti, anche se le autorità avvertono che il numero potrebbe cambiare man mano che verranno analizzate ulteriori prove.
Il gruppo avrebbe ottenuto accesso alle organizzazioni sfruttando vulnerabilità software e punti di accesso poco protetti, in particolare quelli collegati allo storage cloud. Dopo essere entrati nei sistemi della vittima, i membri di KillSec copiavano informazioni sensibili nell’infrastruttura sotto il loro controllo.
Quelle informazioni rubate venivano poi usate per estorsione. Le vittime venivano elencate sul sito oscuro di KillSec e minacciate di pubblicazione a meno che non pagassero un riscatto. Quando le organizzazioni rifiutavano, i loro file rubati potevano essere messi a disposizione di chiunque da scaricare.
L’indagine ha prodotto un quadro insolito delle persone sospettate dietro l’operazione. Le autorità affermano che il presunto amministratore e operatore principale ha solo 16 anni, mentre un altro sospettato membro identificato come sviluppatore ha compiuto 18 anni ad agosto ed era ancora minorenne quando sono avvenuti alcuni dei presunti reati.
Gli investigatori hanno anche identificato persone sospettate di lavorare come negoziatore di riscatti e affiliato. Un uomo di 25 anni arrestato a Manchester è sospettato di aver negoziato con vittime di KillSec ed era previsto per affrontare procedimenti di estradizione a Londra.
Le autorità affermano che KillSec ha anche incorporato l’intelligenza artificiale nelle sue attività. Gli investigatori hanno trovato prove che l’IA è stata utilizzata per aiutare a sviluppare e mantenere l’infrastruttura ransomware del gruppo e per identificare organizzazioni potenzialmente prese di mira.
L’Operazione KillSwitch ha coinvolto autorità provenienti da paesi come Germania, Stati Uniti, Belgio, Finlandia, Grecia, Romania, Spagna, Svizzera e Regno Unito, con il coordinamento internazionale di Europol e Eurojust. Anche aziende di cybersecurity hanno assistito l’indagine.