Un profesional de ciberseguridad con sede en Canadá fue detenido en Estados Unidos la semana pasada, sospechoso de estar implicado con ShinyHunters, incluida la intrusión del grupo en los sistemas del FBI. Según SecurityWeek, el director del FBI, Kash Patel, anunció el arresto un viernes. La Real Policía Montada de Canadá informó a CBS News de que tiene conocimiento de que un canadiense fue detenido en EE. UU. en relación con ShinyHunters.
Quién fue detenido y a qué se enfrenta
Las autoridades no han revelado oficialmente el nombre del sospechoso. El New York Times y el bloguero Brian Krebs informaron de que se trata de Edward Dubrovsky, un canadiense especializado en la respuesta a ransomware. Según los registros judiciales descritos por SecurityWeek, el apellido aparece escrito como «Dobrovsky».
Según esa versión, el FBI lo detuvo tras viajar a Filadelfia para asistir a una conferencia. Al parecer, está vinculado a CyberSteward, una firma con sede en Toronto que ofrece servicios de negociación en casos de ransomware. Según se informa, su perfil de LinkedIn incluye cargos directivos en dos empresas de ciberseguridad norteamericanas, que no se nombran. También se le atribuye la autoría del libro Cyber Extortion: Strategic Response.
Los registros judiciales muestran dos cargos:
- conspiración para amenazar con afectar la confidencialidad de la información con la intención de extorsionar dinero;
- interferencia en el comercio mediante amenazas.
Según se informa, el caso se ha trasladado al Distrito Este de Texas, donde se dice que se lleva la investigación del FBI sobre ShinyHunters. Fuentes le dijeron a Krebs que ejecutivos de otras firmas de negociación de ransomware también podrían enfrentarse a cargos en el caso. Se trata de una afirmación que aún no ha sido confirmada.
Patel calificó este como el último arresto «en cuestión de días» relacionado con la red. Dijo que el FBI trabaja para desmantelar al grupo y seguir nuevas pistas, y que colaborará con socios para desarticular «lo que queda» de ShinyHunters y sus asociados «dondequiera que operen».
La intrusión en el FBI
ShinyHunters, un grupo de extorsión, afirmó haber accedido al sitio web de empleo del FBI y a otros sistemas. Dijo haber obtenido información de casi todos los agentes y solicitantes de empleo. Son afirmaciones del grupo. Describió el ataque como una represalia por un informe del FBI, publicado a principios de año, que advertía a las organizaciones sobre la actividad de ShinyHunters.
El FBI dio una versión distinta sobre el punto de entrada. Atribuyó la intrusión a que un contratista no aplicó los parches a un software Oracle PeopleSoft vulnerable, según SecurityWeek. El informe no menciona ningún CVE, ninguna versión afectada ni ningún parche.
La fuente describe el papel del sospechoso en esa intrusión solo como presunto. No dice qué parte habría tenido.
Tercer arresto en las últimas semanas
SecurityWeek considera este el tercer arresto relacionado con ShinyHunters en las últimas semanas:
- 15 de septiembre: un presunto miembro clave fue detenido en los Países Bajos. Una cobertura anterior analizó el lado neerlandés de la investigación.
- 28 de septiembre: según se informa, otro presunto miembro clave fue detenido en Jordania y colabora con el FBI.
Estado del grupo
A finales de septiembre, ShinyHunters habría afirmado que sus operaciones e infraestructura no se habían visto afectadas, y pidió a las víctimas que pagaran. Los comunicados que el grupo había dirigido al FBI y a las víctimas se eliminaron después de su sitio web basado en Tor. Cuando SecurityWeek publicó la información, según se informó, el sitio ya no era accesible.
Las organizaciones que usan Oracle PeopleSoft, o que dependen de contratistas que lo usan, tienen una conclusión concreta de la explicación del FBI: deben confirmar que los parches de esos sistemas están al día, también en los terceros.
