Een lid van de Ryuk-ransomwareoperatie is veroordeeld tot twee jaar in een Amerikaanse federale gevangenis wegens deelname aan cyberaanvallen die bedrijfsnetwerken versleutelden en meer dan 1 miljoen dollar van slachtoffers afnamen.
Karen Vardanyan, een 35-jarige Armeense burger, kreeg een gevangenisstraf van 24 maanden gevolgd door drie jaar onder toezicht. Een federale rechter beval hem ook $1.219.106 aan schadevergoeding te betalen aan slachtoffers die getroffen zijn door de ransomware-operatie.
Vardanyan, die de online aliassen “Maneeken” en “Karl Lagerfeld” gebruikte, nam van maart 2019 tot ongeveer juni 2020 deel aan het Ryuk-complot. Aanklagers zeiden dat de operatie zich richtte op bedrijven, scholen en andere organisaties wereldwijd, waaronder slachtoffers in de Verenigde Staten.
De groep kreeg ongeautoriseerde toegang tot bedrijfsnetwerken voordat ze Ryuk-ransomware inzetten op gecompromitteerde servers en werkstations. De malware versleutelde bestanden en voorkwam dat organisaties de getroffen systemen gebruikten, terwijl losgeldbrieven slachtoffers instrueerden om cryptobetalingen te doen, meestal in Bitcoin, om decryptiesleutels te verkrijgen.
Eerder beschreven rechtbankdocumenten verschillende aanvallen die gelinkt waren aan Vardanyan en zijn medeplichtigen. Een bedrijf uit Michigan betaalde 200 Bitcoin, destijds meer dan 1,1 miljoen dollar, om weer toegang tot zijn netwerk te krijgen. De aanvallers richtten zich ook op een bedrijf in Wilsonville, Oregon, en compromitteerden in februari 2020 een school in Texas.
De zaak van Vardanyan volgde op een internationale inspanning om personen die betrokken waren bij de ransomware-operatie te identificeren en te vervolgen. Een federale grand jury in Portland diende in februari 2024 een vervangende aanklacht tegen hem uit, waarin hij werd beschuldigd van samenzwering, computerfraude en computergerelateerde afpersing.
De Oekraïense autoriteiten arresteerden Vardanyan later voordat ze hem uitleverden aan de Verenigde Staten. Hij verscheen voor het eerst voor de federale rechtbank in juni 2025 en bleef in hechtenis terwijl de strafzaak voortduurde.
In juli 2026 bekende Vardanyan schuld aan samenzwering en fraude in verband met computers. Zijn straf werd op 22 september in Oregon opgelegd na een onderzoek door de FBI, waarbij Oekraïense autoriteiten Amerikaanse functionarissen hielpen bij het verkrijgen van zijn arrestatie en uitlevering.
Ryuk ontstond in 2018 en werd bekend om het aanvallen van grotere organisaties die aanzienlijke losgelden kunnen betalen. De ransomware werd gebruikt bij aanvallen op bedrijven, zorginstellingen, scholen en andere instellingen, waarbij vaak aanzienlijke verstoringen ontstonden door grote aantallen systemen te versleutelen.
De vervolging van Vardanyan richtte zich op zijn deelname aan aanvallen tussen 2019 en 2020 in plaats van op de volledige geschiedenis van Ryuk-activiteiten wereldwijd. Zijn gevangenisstraf van 24 maanden zal gevolgd worden door drie jaar onder toezicht, terwijl het restitutiebevel vereist dat hij meer dan $1,2 miljoen betaalt aan slachtoffers die onder de zaak vallen.