Le pirate informatique russe “Wazawaka” inculpé pour Ransomware

Un homme russe identifié par KrebsOnSecurity en janvier 2022 comme un membre prolifique et vocal de plusieurs grands groupes de ransomwares a fait l'objet de deux inculpations non scellées par le Ministère de la Justice aujourd'hui. Les procureurs américains disent Mikhaïl Pavolovitch Matveev, alias. “Le Wazawaka"et “Borisélcine"j'ai travaillé avec trois gangs de ransomwares différents qui ont extorqué des centaines de millions de dollars à des entreprises, des écoles, des hôpitaux et des agences gouvernementales.

Une affiche recherchée par le FBI pour Matveev.

Des actes d'accusation retournés dans le New Jersey et le district de Columbia allèguent que Matveev était impliqué dans un complot visant à distribuer des ransomwares provenant de trois souches différentes ou de groupes affiliés, notamment Babouk, Ruche et Écluse.

Les actes d'accusation allèguent que le 25 juin 2020, Matveev et ses co-conspirateurs de LockBit ont déployé un ransomware LockBit contre un organisme d'application de la loi dans le comté de Passaic, New Jersey. Les procureurs affirment que le 27 mai 2022, Matveev a conspiré avec Hive pour rançonner une organisation de soins de santé comportementale à but non lucratif dont le siège est dans le comté de Mercer, dans le New Jersey. Et le 26 avril 2021, Matveev et son gang Babuk auraient déployé un ransomware contre le Département de la police métropolitaine de Washington, D. C.

Pendant ce temps, le Département du Trésor des États-Unis a ajouté Matveev à sa liste de personnes avec lesquelles il est illégal de transiger financièrement. Aussi, le Département d'État des États-Unis offre une récompense de 10 millions de dollars pour la capture et/ou la poursuite de Matveev, bien qu'il soit peu probable qu'il soit confronté à l'un ou l'autre tant qu'il continuera à résider en Russie.

Lors d'une discussion en janvier 2021 sur un des principaux forums russes sur la cybercriminalité, l'alter ego présumé de Matveev, Wazawaka, a déclaré qu'il n'avait pas l'intention de quitter la protection de “Mère Russie” et que voyager à l'étranger n'était pas une option pour lui.

"Mère Russie vous aidera”, a conclu Wazawaka. "Aimez votre pays, et vous vous en tirerez toujours avec tout.”

En janvier 2022, KrebsOnSecurity a publié Qui est le courtier d'accès au réseau ' Wazawaka’' qui a suivi les indices des nombreux pseudonymes et coordonnées de Wazawaka sur les forums de cybercriminalité en langue russe jusqu'à Mikhail Matveev, 33 ans, d'Abaza, en Russie (le FBI dit sa date de naissance est août. 17, 1992).

Un mois après la publication de cette histoire, un homme qui semblait identique aux photos de Matveev sur les réseaux sociaux a commencé à publier sur Twitter une série de vidéos de selfie bizarres dans lequel il s'en est pris aux journalistes et chercheurs en sécurité (y compris cet auteur), tout en utilisant le même compte Twitter pour supprimer le code d'exploitation d'une appliance de réseau privé virtuel (VPN) largement utilisée.

"Bonjour Brian Krebs! Vous avez fait un très bon travail en fait, vraiment bien, putain super — c'est formidable que le journalisme fonctionne si bien aux États-Unis”, a déclaré Matveev dans l'une des vidéos. “Au fait, c'est ma voix en arrière-plan, je m'aime juste beaucoup.”

Les procureurs allèguent que Matveev a utilisé un flot vertigineux de surnoms sur les forums de cybercriminalité, notamment “Borisélcine, "une personnalité bavarde et impétueuse qui était simultanément le personnage public de Babuk, un programme d'affiliation de ransomware qui a fait surface le soir du Nouvel An 2020.

Des reportages précédents ici ont révélé que les alter ego de Matveev comprenaient “Orange,"le fondateur de la RAMPE forum sur les ransomwares. RAMP signifie " Ransom Anon Market Place, et les analystes de la société de sécurité Flashpoint disent que le forum a été créé “directement en réponse à plusieurs grands forums du Dark Web interdisant les collectifs de ransomware sur leur site suivant l'attaque du Pipeline Colonial par groupe de ransomware ‘Côté obscur.”

Comme indiqué dans les enquêtes de l'année dernière sur Matveev, ses manipulations présumées de cybercriminels étaient toutes motivées par une vision uniquement communautaire selon laquelle lorsque les organisations détenues contre rançon refusent de coopérer ou de payer, toutes les données volées à la victime devraient être publiées sur les forums russes de cybercriminalité pour que tous puissent les piller — et non vendues en privé au plus offrant.

De fil en fil sur le forum de la criminalité XSS, Alias présumé de Matveev “Ouhodiransomwar” on pouvait voir des liens de téléchargement vers des bases de données d'entreprises qui ont refusé de négocier au bout de cinq jours.

Matveev est accusé d'avoir conspiré pour transmettre des demandes de rançon, conspiré pour endommager des ordinateurs protégés et endommagé intentionnellement des ordinateurs protégés. S'il est reconnu coupable, il risque plus de 20 ans de prison.

Lectures complémentaires:

Qui est le Courtier d'accès au réseau " Wazawaka?”

Le Wazawaka Devient le Waka Waka

Les Acte d'accusation du New Jersey contre Matveev (PDF en anglais)

Les acte d'accusation du bureau du procureur des États-Unis à Washington, D. C. (PDF en anglais)