MonsterCloud тайно плащал откупите, а лъжел клиентите

Зохар Пинхаси, 50-годишен собственик на флоридската фирма за възстановяване след ransomware MonsterCloud LLC, беше изправен пред федерален съд в Бруклин на 7 октомври и се призна за невинен. Обвинението: години наред е продавал на клиентите си „собствена технология за дешифриране“, каквато никога не е имал, а в действителност се е свързвал със самите ransomware групи, купувал е от тях ключовете и е таксувал жертвите в пъти повече от платения откуп.

Голямото съдебно жури в Източния окръг на Ню Йорк е внесло обвинителния акт на 23 септември. Пинхаси, който е американски и израелски гражданин и е използвал имената „Зак Силвър“ и „Зак Грийн“, е освободен под гаранция от 2 млн. долара.

Какво точно пише в обвинението

Според прессъобщението на Министерството на правосъдието схемата е работила от юни 2018 до юни 2023 г. и е засегнала стотици фирми в САЩ и Канада. Общата сметка към клиентите е над 19 млн. долара (около 17 млн. евро), а чрез Пинхаси към ransomware операторите са тръгнали над 8 млн. долара (около 7,1 млн. евро).

Разликата е оставала в MonsterCloud. Два конкретни примера от обвинителния акт:

• октомври 2021 г. — платен откуп около 236 000 долара, фактура към клиента около 380 000 долара;
• август 2023 г. — платен откуп около 8200 долара, фактура към клиента около 150 000 долара.

Във втория случай надценката е близо 18 пъти. Обвиненията са две за измама чрез електронни съобщения (wire fraud) и едно за сговор за такава измама — по 20 години максимум за всяко.

„Твърдейки лъжливо, че дешифрира ransomware без да плаща на изнудвачите, подсъдимият превърна клиентите си в жертви за втори път, докато извличаше солидна печалба“, каза федералният прокурор Джоузеф Ночела-младши. Разследването е на ФБР, а делото се води съвместно от секцията за компютърни престъпления в Министерството на правосъдието и прокуратурата в Източния окръг на Ню Йорк.

Снимка: MonsterCloud

Маркетингът срещу вътрешните разговори

Сайтът на MonsterCloud и до днес говори за „усъвършенствани техники за дешифриране и най-съвременна технология“ и предупреждава, че „плащането на откуп на киберпрестъпници не гарантира положителен изход“. Фирмата е обещавала и премахване на ransomware „или услугата е безплатна“.

Най-неудобното доказателство в обвинението е цитат от самия Пинхаси. Когато платен доставчик на отзиви го попитал какъв точно собствен софтуер използва компанията, той отговорил, че „MonsterCloud не разполага с никаква собствена технология за дешифриране на данните от ransomware“ — това предаде The Register. Обвинителният акт говори и за неназовани съучастници сред служители и подизпълнители.

Историята не е нова

Моделът беше описан още през 2019 г. в разследването „The Trade Secret“ на ProPublica, според което MonsterCloud и подобни фирми плащат откупите, без да казват на клиентите си — включително на американски полицейски управления, които публично твърдяха, че не преговарят с престъпници. Тогава последваха само репортажи. Сега, седем години по-късно, темата стигна до федерален съд.

Защо това има значение и извън Флорида: в ransomware икономиката посредникът, който тихо плаща, е част от веригата на приходите на групите. Клиентът не просто е надплатил — той е финансирал атакуващите, без да знае, и е поел рискове, за които не е бил информиран: от санкционни списъци до задължения за уведомяване на регулатор. В ЕС това е особено чувствително, защото GDPR и NIS2 изискват точна картина на инцидента, а не „възстановихме данните със собствена технология“.

Какво да проверявате у доставчика

Практиката на сериозните екипи по реакция при инциденти е различна и лесна за разпознаване. Писмен отговор на въпроса дали ще се водят преговори и ще се плаща откуп. Проверка в санкционни списъци преди всяко плащане. Отделна фактура за евентуален откуп, а не една обща сума „за възстановяване“. И доклад, който казва как точно са върнати данните — от backup, чрез публично известен дешифратор или с ключ от атакуващите.

Контекстът пък си остава тежък: веригите за доставка продължават да изтичат достъпи, както показа новата вълна на Shai-Hulud в npm, а регулатори вече разследват дали зад банкови пробиви не стоят AI агенти. Търсенето на бързо „дешифриране“ няма да намалее.

Заключение

Пинхаси е обвинен, не осъден — той отрича вината си и предстои процес. Но самият обвинителен акт очертава нещо, което индустрията знае отдавна: в сегмента „възстановяване след ransomware“ има фирми, които продават чудо, а всъщност препращат парите ви на изнудвача с надценка. Докато делото в Бруклин се движи, най-добрата защита е скучна — тествани backup копия и доставчик, който ви казва в прав текст какво точно прави с парите ви.

Източници: BleepingComputer, The Register, Министерство на правосъдието на САЩ.