O ransomware Ryuk: empresa da Armênia se declara culpada e pode enfrentar até 15 anos

A cidadã armênia Karen Serobovich Vardanyan se declarou culpada em 8 de julho, no tribunal federal do estado de Oregon, nos EUA, assumindo as acusações de conspiração e fraude por computador. O caso envolve a ajuda na execução de atividades relacionadas ao ataque com ransomware Ryuk. A ação teria rendido aproximadamente 1.610 bitcoins, com pagamentos no valor de mais de US$ 15 milhões na cotação da época. As duas acusações, somadas, podem resultar em até 15 anos de prisão. A data da sentença foi marcada para 22 de setembro.

Mecanismo de ataque do ransomware Ryuk: invasão da rede corporativa, criptografia de arquivos e fluxo do resgate em bitcoin

(Fonte: site do Departamento de Justiça dos EUA)

De acordo com as alegações do Ministério Público Federal em Oregon, o funcionamento do ataque com ransomware Ryuk ocorre da seguinte forma: o grupo criminoso invade a rede corporativa e instala o malware Ryuk em centenas de estações de trabalho e servidores. O software então bloqueia e criptografa todos os arquivos das vítimas até que o resgate seja pago; em seguida, deixa uma carta de extorsão exigindo que as vítimas forneçam endereços de e-mail e paguem o resgate em bitcoin. Depois de a vítima entrar em contato com os atacantes, os valores do resgate são negociados. Ao pagar o resgate, o atacante fornece as chaves de descriptografia, restaurando o acesso do sistema.

O comunicado à imprensa do Departamento de Justiça dos EUA em 9 de julho afirma que a carta de resgate exigia que as vítimas pagassem o resgate em bitcoin e fornecessem endereços de e-mail para contato.

Três grandes vítimas conhecidas e o tamanho da extorsão em bitcoin

De acordo com as reportagens, as vítimas conhecidas desta ação com ransomware Ryuk incluem:

Empresa de Michigan: pagou 200 bitcoins para recuperar o acesso à rede; na cotação da época, cerca de US$ 1,1 milhão

Empresa de tecnologia em Wilsonville, Oregon: alvo do ataque (perdas específicas não divulgadas)

Uma escola no Texas: sofreu ataque em fevereiro de 2020 (perdas específicas não divulgadas)

Nesta ação, foram recolhidos no total cerca de 1.610 bitcoins, com valor total na cotação da época superior a US$ 15 milhões. A promotoria ainda não divulgou a lista completa de vítimas, nem forneceu registros de transações de carteiras ou detalhes dos pagamentos.

Perguntas frequentes

Quais acusações criminais Karen Vardanyan enfrenta e qual pode ser a pena final?

Conforme a explicação do Ministério Público Federal de Oregon, Vardanyan se declarou culpada por duas acusações: conspiração (até 5 anos) e fraude por computador (até 10 anos). Somadas, a pena máxima pode chegar a 15 anos de prisão. Cada acusação também prevê, além disso, multa de US$ 250 mil e liberdade supervisionada por três anos. A terceira acusação de extorsão mediante chantagem ainda não foi resolvida em razão do acordo de confissão. A sentença está marcada para 22 de setembro de 2026; o tribunal considerará de forma conjunta o valor da indenização, o acordo de confissão e as diretrizes federais de sentença.

O que é o ransomware Ryuk e como ele ataca empresas?

Segundo as reportagens, o Ryuk é um tipo de malware que mira e criptografa os arquivos das vítimas até que o resgate seja pago. Os atacantes primeiro invadem a rede corporativa, instalam o malware em centenas de estações de trabalho e servidores e, em seguida, deixam uma carta de resgate exigindo pagamento em bitcoin. Após o pagamento, o atacante fornece a chave de descriptografia para restaurar o acesso das vítimas ao sistema.

Quais arranjos de indenização estão incluídos no acordo de confissão de Vardanyan?

De acordo com as reportagens, como parte do acordo de confissão, Vardanyan concordou em pagar mais de US$ 1,1 milhão em indenização. O tribunal de Portland realizará uma nova apreciação para a sentença em 22 de setembro de 2026. A decisão sobre a pena final considerará conjuntamente o valor da indenização, o acordo de confissão e as diretrizes federais de sentença.