Belarus vatandaşı Maksim Silnikau, 2021’de kurup işlettiği Ransom Cartel fidye yazılımı-as-a-service yapılanması nedeniyle 5 Ağustos’ta 16 yıl hapis cezası aldı. ABD Adalet Bakanlığı’nın açıkladığı dosyaya göre çete, 2021 ile 2023 arasında Kaliforniya, New York ve Nebraska’daki firmalar da dahil olmak üzere en az 18 şirkete saldırdı.
40 yaşındaki Silnikau, soruşturma kayıtlarında “J.P. Morgan”, “lansky” ve “xxx” takma adlarını kullanıyordu. Savcılara göre saldırıların çoğunu kendisi yürütmedi; bunun yerine fidye yazılımını, ilk erişim aracılarından satın aldığı çalıntı kimlik bilgilerini ve ortakların saldırıları izlediği, mağdurlarla pazarlık yaptığı ve gelir paylaştığı gizli bir paneli yöneten altyapıyı kurdu.
Çete yapısı, notlandırma sistemi ve kripto karıştırıcılar
Silnikau’nun kurduğu sistem, fidye yazılımı ekosisteminin tipik “hizmet” modeline dayanıyordu. İş ortakları için performansa göre puanlanan bir sıralama sistemi işletildi; daha üretken olanlara daha fazla pay verildi. Fidye ödemeleri ise iz sürmeyi zorlaştırmak amacıyla kripto para karıştırıcılar üzerinden aktarıldı.
Savcılık, Virginia’da açılan davada yedi ayrı suçlamayı yöneltti ve bunlardan üçünde mahkûmiyet duyurdu. Açıklamada tazminat ya da el koyma tutarı yer almadı; Silnikau’nun suçlamaları kabul edip etmediği veya yargılama sonunda mı mahkûm edildiği de belirtilmedi.
Verilen ceza, 2024’te REvil bağlantılı 2.500’den fazla saldırı ve 700 milyon doları aşan fidye talepleri nedeniyle Yaroslav Vasinskyi’ye verilen 13 yıl 7 ayı da geride bıraktı. Buna karşın dosya tamamen kapanmış değil; New Jersey’de açılan ikinci federal soruşturma sürüyor ve orada Silnikau ile birlikte suçlanan iki kişi hâlâ firarda.
Mayıs 2021’den 2023 baharına uzanan dosya
Yetkililer Ransom Cartel’in başlangıcını Mayıs 2021’e tarihliyor. Palo Alto Networks’ün Unit 42 ekibi ise faaliyeti ilk kez Ocak 2022 ortasında gözlemledi. Haziran 2023’te hazırlanıp 2024’te kamuya açılan iddianame, bu farkı kapatıyor: Silnikau’nun operasyonu başka bir adla Mayıs 2021’de başlattığı, adı 2021 sonlarında “Ransom Cartel” olarak değiştirdiği ve ardından bunu güvenlik haber sitelerinde duyurmaya çalıştığı belirtiliyor.
İddianamede yer alan bir ilan da dosyada korunmuş durumda. Buna göre çete, 4 Mayıs 2021’de Rusça konuşulan bir siber suç forumunda, Bağımsız Devletler Topluluğu dışındaki kurumsal ağlara erişim aradığını duyurdu. Hedef seçiminde şirket büyüklüğünü filtrelediler ve ödemeye razı oldukları taban tutarı açıkça yazdılar: “Gelir: 10 milyon dolardan fazla. Fiyatlar 100 dolardan başlıyor.”
Suçlamalarda yer alan son eylem 25 Nisan 2023’e uzanıyor. O tarihte Silnikau, kilitlenecek bilgisayarların sağlanmasına ilişkin koşulları müzakere etti. Savcılığa göre bu tarihten üç ay sonra, Temmuz 2023’te gerçekleşen tutuklama Ransom Cartel’in büyümesini durdurdu. Silnikau, Ağustos 2024’te Polonya’dan ABD’ye iade edildi.
Unit 42, Ransom Cartel’i hiçbir zaman REvil’in yeniden markalanmış sürümü olarak tanımlamadı. 2022 tarihli analizde, operatörlerin REvil’in orijinal kaynak koduna sahip olduğu ancak çetenin kullandığı karartma motoruna sahip görünmediği aktarıldı. Araştırmacılar iki grubun bir noktada bağlantılı olabileceğini öne sürdü; ne iddianamede ne de ceza açıklamasında REvil adı geçti.
Silnikau, New Jersey’de Volodymyr Kadariya ve Andrei Tarasov ile birlikte 2013’ten 2022’ye kadar süren Angler Exploit Kit üzerinden yürüyen kötü amaçlı reklam ağı nedeniyle de ayrı biçimde suçlandı. Virginia’daki açıklama bu dosyaya değinmedi. ABD Gizli Servisi, Tarasov’u hâlâ arananlar listesinde tutuyor; Dışişleri Bakanlığı ise Kadariya’nın yakalanmasına ya da mahkûmiyetine götürecek bilgi için 2,5 milyon dolara kadar ödül teklif ediyor.