Een internationale wetshandhavingsoperatie heeft belangrijke infrastructuur van de KillSec-ransomwaregroep ontmanteld, waarbij onderzoekers een 16-jarige hebben geïdentificeerd als de vermoedelijke hoofdoperator achter een cybercrimecampagne die verband houdt met honderden succesvolle aanvallen.
De gecoördineerde actie vond plaats op 30 september onder , Operation KillSwitch een onderzoek geleid door Duitse autoriteiten. De politie voerde acht huiszoekingen uit in Spanje, Griekenland, Roemenië en het Verenigd Koninkrijk, waarbij drie verdachten voorlopig werden gearresteerd en bewijs en bezittingen in beslag werden genomen.
De autoriteiten kregen ook controle over vijf centrale servers die door KillSec werden gebruikt. De in beslag genomen infrastructuur omvatte systemen die werden gebruikt om de operaties van de groep te beheren en informatie op te slaan die van slachtoffers was gestolen, terwijl de domeinen van KillSec werden doorgestuurd naar een inbeslagnamebericht van de politie.
Tijdens de operatie werden minstens 110 terabyte aan gestolen informatie veiliggesteld, waardoor verdere ongeautoriseerde toegang via de infrastructuur die nu door de autoriteiten wordt beheerd werd voorkomen. Onderzoekers onderzoeken de in beslag genomen systemen om extra slachtoffers te identificeren en mogelijk andere betrokkenen bij de operatie te ontmaskeren.
KillSec is sinds ongeveer 2024 actief en wordt ervan verdacht ongeveer 1.000 aanvallen wereldwijd te hebben uitgevoerd. Onderzoekers hebben tot nu toe ongeveer 500 van die aanvallen als succesvol geclassificeerd, hoewel autoriteiten waarschuwen dat het aantal kan veranderen naarmate er meer bewijs wordt geanalyseerd.
De groep zou toegang tot organisaties hebben gekregen door softwarekwetsbaarheden en slecht beveiligde toegangspunten te benutten, met name die verbonden waren met cloudopslag. Na het binnendringen van de systemen van een slachtoffer kopieerden KillSec-leden gevoelige informatie naar infrastructuur onder hun controle.
Die gestolen informatie werd vervolgens gebruikt voor afpersing. Slachtoffers werden op de dark-web site van KillSec vermeld en bedreigd met publicatie tenzij ze losgeld betaalden. Wanneer organisaties weigerden, konden hun gestolen bestanden beschikbaar worden gesteld voor iedereen om te downloaden.
Het onderzoek heeft een ongebruikelijk beeld opgeleverd van de vermoedelijke personen achter de operatie. De autoriteiten zeggen dat de vermeende beheerder en hoofdoperator slechts 16 jaar oud is, terwijl een ander vermoedelijk lid dat als ontwikkelaar is geïdentificeerd in augustus 18 werd en nog minderjarig was toen sommige van de vermeende misdrijven plaatsvonden.
Onderzoekers hebben ook mensen geïdentificeerd die verdacht worden van het werken als losgeldonderhandelaar en als partner. Een 25-jarige man die in Manchester is gearresteerd, wordt verdacht van onderhandelingen met KillSec-slachtoffers en zou in Londen voor een uitleveringsprocedure verschijnen.
Autoriteiten zeggen dat KillSec ook kunstmatige intelligentie in haar activiteiten heeft opgenomen. Onderzoekers vonden bewijs dat AI werd gebruikt om de ransomware-infrastructuur van de groep te ontwikkelen en te onderhouden en organisaties te identificeren die mogelijk doelwit kunnen zijn.
Operatie KillSwitch betrof autoriteiten uit landen als Duitsland, de Verenigde Staten, België, Finland, Griekenland, Roemenië, Spanje, Zwitserland en het Verenigd Koninkrijk, met internationale coördinatie van Europol en Eurojust. Cyberbeveiligingsbedrijven ondersteunden ook het onderzoek.