Инженер получил 32 месяца тюрьмы за атаку на сеть своего работодателя с требованием 20 BTC

Бывший инженер промышленной компании из Нью-Джерси приговорён к 32 месяцам тюрьмы за атаку на компьютерную сеть работодателя и требование выкупа в биткоинах. Об этом сообщила прокуратура США в понедельник.

Дэниел Райн, 59 лет, из Канзас-Сити (штат Миссури), выслушал приговор 28 сентября в Трентоне. Его вынес судья Майкл А. Шипп. В апреле Райн признал вину по двум пунктам: вымогательство с угрозой повреждения защищённого компьютера и умышленное повреждение защищённого компьютера.

По данным уголовного дела ФБР, Райн занимал должность ведущего инженера инфраструктуры и был главным специалистом компании по хостингу виртуальных машин. Прокуратура не называет компанию, которая находится в округе Сомерсет (Нью-Джерси) и обслуживает отрасли от биофармацевтики до нефти и газа.

Около 16:00 25 ноября 2023 года администраторы сети компании начали получать уведомления о сбросе паролей для сотен учётных записей, а затем обнаружили, что все остальные учётные записи администраторов домена удалены, говорится в жалобе.

Через 44 минуты сотрудники получили письмо с темой «Your Network Has Been Penetrated» («Ваша сеть взломана»). В нём утверждалось, что ИТ-администраторы компании заблокированы, а резервные копии удалены. Отправитель предупредил, что каждый день в течение 10 дней будут отключаться ещё 40 серверов, если до 2 декабря не будет выплачено 20 BTC — около $750 000 ≈ 2,30 млн BYN на тот момент.

В письме также фигурировала сумма выкупа €700 000, подлежащая выплате в биткоинах, сказано в жалобе.

Скрытая виртуальная машина

Следователи связали атаку с несанкционированной виртуальной машиной, созданной в сети компании 9 ноября 2023 года. Её паролем был «TheFr0zenCrew!» — тот же пароль позже установили на учётной записи администратора, на 301 пользовательской учётной записи и на почтовом аккаунте, с которого отправили требование.

Утром в день атаки сессия удалённого рабочего стола с этой машины создала запланированные задачи: удалить 13 учётных записей администраторов, сменить пароли на 254 серверах и 3 284 рабочих станциях, а с 3 декабря отключить десятки серверов.

ФБР связало машину с Райном через его рабочий ноутбук. Просмотр сайтов на ноутбуке прекращался всякий раз, когда работа шла на скрытой машине, а журналы доступа в здание показали, что он входил в головной офис за несколько минут до входа в свою учётную запись, говорится в жалобе.

В день атаки ноутбук Райна подключился к сети с IP-адреса, закреплённого за его домом в округе Уоррен (Нью-Джерси), за несколько минут до сессии, которая создала задачи.

За несколько дней до этого пользователь скрытой машины искал в интернете запросы «how to clear all windows logs from command line» и «how to remotely shutdown a computer using cmd», сказано в жалобе.

ФБР также предъявляло Райну обвинение в мошенничестве с использованием средств связи, но этот пункт не вошёл в итоговое обвинение из двух пунктов, по которым он признал вину. Ему грозило до пяти лет по статье о вымогательстве и до 10 лет по статье о повреждении компьютера.