La policía de España, Alemania, Reino Unido y Rumanía ha llevado a cabo una operación coordinada contra el presunto grupo de ransomware KillSec, deteniendo a tres personas y tomando el control de infraestructura vinculada a su operación de filtración de datos.
La policía de Hamburgo informó que un joven de 16 años fue detenido en Alicante, España, el 30 de septiembre y es sospechoso de actuar como administrador principal del grupo. Las autoridades españolas registraron una vivienda y una oficina de hotel en la provincia, e incautaron ordenadores, teléfonos móviles y monederos de criptomonedas. El análisis inicial habría identificado transacciones compatibles con pagos de rescates.
Otros dos sospechosos, ambos de unos 20 años, fueron detenidos en Reino Unido y Rumanía, según Europol. Fiscales rumanos informaron que un hombre de 24 años está siendo investigado por presuntos delitos que incluyen acceso no autorizado a sistemas informáticos, transferencias de datos, uso de herramientas maliciosas, chantaje y participación en un grupo delictivo organizado. Los sospechosos no han sido condenados y las detenciones son provisionales.
Infraestructura y datos incautados
Las autoridades llevaron a cabo ocho registros en España, Grecia, Reino Unido y Rumanía. Los investigadores afirmaron que desactivaron cinco servidores, incluido un presunto servidor principal de KillSec, y colocaron avisos de incautación en cinco dominios. También aseguraron al menos 110 terabytes de datos para impedir un mayor acceso no autorizado tras tomar el control del sitio de filtraciones del grupo.
El caso fue coordinado por Europol y Eurojust, con el apoyo de la oficina del FBI en San Juan, fiscales estadounidenses en Puerto Rico y las empresas de seguridad Bitdefender y Group-IB. Según se informa, Puerto Rico ha solicitado la extradición de la persona detenida en Reino Unido.
Presunta actividad de extorsión
Los investigadores creen que KillSec comprometía organizaciones mediante la explotación de fallos de software, controles de acceso débiles y, en algunos casos, credenciales adquiridas en mercados criminales. Presuntamente, el grupo copiaba datos internos y amenazaba con publicarlos o venderlos a menos que las víctimas pagaran.
La policía de Hamburgo indicó que la investigación abarca aproximadamente 1.000 incidentes sospechosos a nivel mundial, de los cuales se cree que unos 500 han derivado hasta ahora en compromisos exitosos. La policía española citó más de 280 víctimas. Las autoridades continúan examinando los dispositivos, datos y actividad de criptomonedas incautados para identificar a otras organizaciones afectadas y posibles participantes.
Investigadores habían descrito previamente a KillSec como un grupo que evolucionó de la actividad hacktivista hacia operaciones de ransomware y extorsión de datos. Los funcionarios también señalaron que están examinando afirmaciones de que se utilizaron herramientas de inteligencia artificial para apoyar la selección de víctimas y las operaciones de infraestructura, aunque no proporcionaron detalles técnicos.