Ransomware-Verhandlungsführer gesteht: Er spielte für beide Seiten

Ein ehemaliger Ransomware-Verhandlungsführer hat sich schuldig bekannt, Cyberkriminelle bei der Erpressung von Unternehmen unterstützt zu haben.

Laut US-Justizministerium, das den Fall am Montag öffentlich machte, leitete Martino sensible Informationen an die Ransomware-Gruppe ALPHV/BlackCat weiter: Wie hoch war die Versicherungsdeckung des Opfers? Welche Verhandlungsstrategie verfolgte es? Mit diesem Wissen konnten die Angreifer ihre Forderungen gezielt ausrichten. Martino kassierte dafür eine Provision.

Nicht der Erste seiner Art

Bereits zwei weitere Personen aus dem Incident-Response-Umfeld wurden in den vergangenen zwölf Monaten wegen desselben Musters angeklagt: Kevin Tyler Martin, ebenfalls bei DigitalMint beschäftigt, sowie Ryan Clifford Goldberg, früherer Incident-Response-Manager beim Sicherheitsunternehmen Sygnia. Damals erwähnten die Behörden noch eine dritte, namentlich nicht genannte Person. Diese Person war Martino. „Angelo Martinos Mandanten vertrauten ihm, um Ransomware-Bedrohungen abzuwehren. Stattdessen verriet er sie und unterstützte Cyberkriminelle bei ihren Angriffen“, sagte A. Tysen Duva, Assistant Attorney General des US-Justizministerium.

Über 1,2 Millionen Dollar aus einem einzigen Angriff

Gemeinsam mit Goldberg und Martin setzte Martino die ALPHV/BlackCat-Schadsoftware im ersten Halbjahr 2023 gegen mehrere US-amerikanische Unternehmen ein. Das Trio trat dabei faktisch als Affiliate der Gruppe auf. Bei einem der angegriffenen Unternehmen flossen laut Staatsanwaltschaft über 1,2 Millionen Dollar an die drei. Martino drohen nun bis zu 20 Jahre Haft. Zehn Millionen Dollar seines Vermögens haben die Behörden bereits eingefroren.

DigitalMint erklärte auf Anfrage von TechCrunch, von den Aktivitäten seiner ehemaligen Mitarbeiter nichts gewusst zu haben. Beide wurden nach Bekanntwerden der Vorwürfe entlassen.

Hintergrund: ALPHV/BlackCat

ALPHV/BlackCat operierte als sogenanntes Ransomware-as-a-Service-Modell. Die Kerngruppe entwickelte und pflegte die Schadsoftware, externe Auftragnehmer führten die Angriffe durch und zahlten einen Teil der Einnahmen zurück. 2023 beschlagnahmte ein internationales Strafverfolgungskonsortium die Darknet-Plattform der Gruppe und stellte ein Entschlüsselungswerkzeug für über 500 Opfer bereit.