Investigadores de cibersegurança ligaram o administrador da operação de ransomware Qilin a um russo de 36 anos que vive em São Petersburgo. As descobertas surgiram de uma investigação sobre contas históricas de fóruns de crimes cibernéticos, registros governamentais vazados e identidades online associadas à liderança do grupo.
O indivíduo identificado pelos pesquisadores é Aleksey Mikhailovich Yakovtsev, que supostamente opera sob o apelido Haise. Embora várias empresas de inteligência cibernética tenham contribuído com evidências que apoiam a conexão, as autoridades policiais não confirmaram publicamente seu envolvimento em Qilin.
A Qilin se tornou uma das operações de ransomware como serviço mais ativas, reivindicando pelo menos 365 organizações vítimas nos últimos três meses. Ativo desde 2022, o grupo recruta afiliados para comprometer redes corporativas e implantar ransomware em troca de uma parcela substancial dos pagamentos por extorsão.
Segundo relatos, afiliados recebem pelo menos 80% dos pagamentos de resgate coletados. A operação normalmente utiliza extorsão dupla, roubo de informações confidenciais antes de criptografar sistemas e ameaça de publicar o material roubado caso as vítimas se recusem a pagar.
According to KrebsOnSecurity , a investigação sobre Haise começou com identidades online antigas que o suposto administrador teria usado antes de se associar a Qilin. Pesquisadores descobriram que uma solicitação enviada ao fórum russo de crimes cibernéticos RAMP em junho de 2022 continha um nome de usuário do Telegram que conectava Haise a atividades anteriores.
De acordo com informações coletadas pela Intel 471, mensagens do RAMP se referiam a Haise usando a conta do Telegram Alexbigboss44. O mesmo nome de usuário havia aparecido anteriormente em conexão com um indivíduo conhecido como Rjun nos fóruns subterrâneos Exploit e XSS.
Pesquisas adicionais da Flashpoint ligaram essas contas a atividades envolvendo contas online comprometidas, informações roubadas, publicidade fraudulenta e acesso comercial a sistemas corporativos.
A plataforma de cibersegurança IntelHawk analisou as identidades históricas e identificou uma progressão de suposta fraude com cartão de pagamento e manipulação de tráfego durante 2018 e 2019 para atividades cibercriminosas mais complexas envolvendo malware, botnets e infraestrutura de pagamentos.
A investigação posteriormente conectou Rjun a um endereço de e-mail usado para registrar contas em vários fóruns clandestinos russos. Pesquisadores pesquisaram bancos de dados previamente vazados e descobriram que o mesmo endereço aparecia em registros associados ao Gosuslugi, o portal de serviços governamentais da Rússia.
De acordo com esses registros, o endereço de e-mail pertencia a Yakovtsev. Informações adicionais obtidas em bancos de dados educacionais russos indicaram que ele estudou em Murmansk e obteve mestrado em computação e sistemas de informação.
Os investigadores também examinaram identificadores históricos do Telegram e registros de viagem, identificando outras conexões entre as contas online do suposto administrador e Yakovtsev.
Os achados mostram como reutilizar nomes de usuário, dados de contato e informações de contas em diferentes plataformas pode minar as tentativas de manter o anonimato. Mesmo quando indivíduos adotam novas identidades online, registros históricos podem preservar conexões com suas atividades anteriores.
No entanto, as evidências permanecem circunstanciais. A investigação estabelece ligações entre várias contas online e registros pessoais, mas não constitui uma determinação judicial de que Yakovtsev opera a Qilin.
Pesquisadores também relataram que tentativas de contato com Yakovtsev foram malsucedidas. Registros de viagens disponíveis indicavam voos domésticos dentro da Rússia, mas não comprovavam que ele havia viajado internacionalmente.