10 państw ścigało gang hakerów. Na końcu znaleźli 16-latka

Międzynarodowa operacja organów ścigania doprowadziła do przejęcia infrastruktury grupy ransomware KillSec. W ramach akcji nazwanej „Operation KillSwitch” zatrzymano trzy osoby, przeszukano osiem lokalizacji i zabezpieczono aż 110 TB skradzionych danych. Co jednak najciekawsze w tym wszystkim, jednym z podejrzanych o kierowanie działalnością grupy jest zaledwie 16-latek.

Operację przeprowadzono 30 września przy współpracy służb z Belgii, USA, Finlandii, Niemiec, Grecji, Holandii, Rumunii, Hiszpanii, Szwajcarii i Wielkiej Brytanii. W śledztwie uczestniczyły również Europol i Eurojust, a wsparcia technicznego udzieliły firmy Bitdefender oraz Group-IB. Śledztwo rozpoczęto w 2025 roku i dotyczyło około 1000 podejrzewanych ataków na całym świecie. Do tej pory śledczy potwierdzili około 500 skutecznych incydentów, choć liczba ta może jeszcze wzrosnąć wraz z analizą zabezpieczonych materiałów. Co najmniej 70 ataków dotyczyło niemieckich organizacji, w tym 18 przypadków z Hamburga.

Podejrzany administrator i główny operator KillSec ma mieć zaledwie 16 lat.

16-latek miał być administratorem KillSec

Według Europolu śledczy zidentyfikowali osoby odpowiedzialne za różne elementy działalności grupy. Jedną z nich jest podejrzewany administrator i główny operator KillSec, który ma mieć zaledwie 16 lat. Inny podejrzany, wskazywany jako deweloper, skończył 18 lat w sierpniu 2026 roku, ale część zarzucanych mu czynów miała zostać popełniona jeszcze przed osiągnięciem pełnoletności. Służby zidentyfikowały również osoby podejrzewane o pełnienie funkcji negocjatora oraz afilianta.

Przejęto serwery i 110 TB danych

Policja w Hamburgu przeanalizowała infrastrukturę serwerową KillSec, co doprowadziło do wyłączenia pięciu serwerów. Wśród przejętych maszyn znajdował się główny serwer grupy oraz urządzenia służące prawdopodobnie do przechowywania wykradzionych danych. Służby przejęły również stronę z wyciekami KillSec działającą w sieci Tor i ta zamiast ofert skradzionych danych wyświetla obecnie komunikat informujący o przejęciu infrastruktury przez organy ścigania.

KillSec wykorzystywał luki i AI

Grupa działała co najmniej od 2024 roku i według śledczych cyberprzestępcy wykorzystywali podatności w oprogramowaniu oraz niewłaściwie zabezpieczone urządzenia i systemy brzegowe, aby włamywać się do sieci firm i kraść poufne informacje. Następnie ofiary szantażowano publikacją danych na stronie w dark webie. Europol informuje, że KillSec uzyskał w ten sposób „znaczne” kwoty w ramach okupów.

Co ciekawe, śledczy odkryli również ślady wykorzystywania sztucznej inteligencji do budowy i utrzymywania infrastruktury ransomware oraz wyszukiwania potencjalnych celów. Analiza przejętych komputerów, serwerów i innych materiałów ma teraz pomóc w ustaleniu kolejnych ofiar, ataków oraz osób powiązanych z grupą, a także w prześledzeniu jej dochodów, w tym kryptowalut.