Operatore del ransomware Conti condannato a quattro anni di carcere negli Stati Uniti

La condanna arriva dopo l’arresto e l’estradizione dall’Irlanda

Un tribunale statunitense ha condannato a quattro anni di carcere il cittadino ucraino Oleksii Oleksiyovych Lytvynenko per aver partecipato all’operazione ransomware Conti.

La condanna è stata resa nota l’11 settembre 2026, anche se la data esatta della sentenza non è stata divulgata. Lytvynenko, 44 anni, si è dichiarato colpevole nel giugno 2026 e rischiava una pena massima di 20 anni.

Le descrizioni della condanna differiscono leggermente. Il reato è stato descritto sia come frode telematica sia come cospirazione finalizzata a commettere una frode telematica. La condotta alla base del procedimento, tuttavia, è coerente in tutte le ricostruzioni disponibili: Lytvynenko contribuiva a compromettere le aziende, controllava le informazioni sottratte, inviava richieste estorsive e sviluppava malware utilizzato negli attacchi di Conti.

La polizia nazionale irlandese, An Garda Síochána, lo ha arrestato nella sua abitazione di Cork nel luglio 2023, in seguito a una richiesta degli Stati Uniti. Lytvynenko, che in precedenza aveva vissuto in Irlanda, ha trascorso diversi anni in un carcere irlandese mentre contestava l’estradizione.

Alla fine è stato trasferito negli Stati Uniti; secondo una ricostruzione, l’estradizione sarebbe avvenuta alla fine del 2025. Il procedimento è quindi proseguito molto tempo dopo che Conti aveva smesso di operare con il suo nome originario.

Lytvynenko combinava lo sviluppo di malware con attacchi condotti direttamente

Secondo la sua dichiarazione di colpevolezza, Lytvynenko è entrato nell’organizzazione Conti nel settembre 2021. I procuratori non lo hanno descritto come un semplice affiliato che acquistava l’accesso o distribuiva ransomware forniti da altri.

Le sue responsabilità coprivano diverse fasi di un’intrusione. Operava all’interno di una squadra guidata da un altro cospiratore di Conti, partecipava ad attacchi contro almeno 12 aziende e conservava dati sottratti appartenenti a otto vittime statunitensi e quattro vittime straniere.

Inviava inoltre le richieste di riscatto. Questi messaggi costituivano la componente estorsiva del modello di business di Conti e spingevano le organizzazioni compromesse a pagare in Bitcoin per riottenere l’accesso e impedire la pubblicazione delle informazioni.

Lytvynenko scriveva anche codice per un “loader” malware. Il componente non è stato identificato con un nome distinto e non sono stati divulgati hash, nomi di file o altri indicatori tecnici.

Un loader fornisce in genere un meccanismo iniziale per l’esecuzione o la distribuzione di altro software. In questo caso, le autorità lo hanno descritto come codice in grado di installare o avviare il malware e gli strumenti di supporto necessari per condurre un attacco.

Questo ruolo nello sviluppo è significativo. Colloca Lytvynenko non solo nel punto di contatto con le vittime, ma anche all’interno dell’infrastruttura tecnica che consentiva l’esecuzione dei payload successivi.

Secondo le ricostruzioni, le sue attività comprendevano:

• Sviluppo di strumenti malevoli.
• Supporto alle intrusioni nelle reti.
• Conservazione e controllo delle informazioni esfiltrate.
• Facilitazione dell’esecuzione di malware aggiuntivo.
• Partecipazione alla distribuzione del ransomware.
• Invio di richieste estorsive alle vittime.

Le prove recuperate dagli investigatori indicavano inoltre che la sua attività ransomware era proseguita dopo la chiusura di Conti. Non è noto quando sia terminata né quale operazione successiva avrebbe sostenuto. Le autorità non lo hanno collegato a uno specifico gruppo successore di Conti.

Conti combinava la cifratura con la minaccia di divulgare i dati

Conti operava secondo un modello di doppia estorsione. I suoi membri entravano nelle reti delle vittime, sottraevano dati sensibili, cifravano i sistemi e poi chiedevano pagamenti in criptovaluta.

La cifratura creava una pressione operativa immediata, impedendo l’accesso a file, dispositivi e servizi aziendali. Il furto dei dati forniva una seconda leva: anche le organizzazioni in grado di ripristinare i sistemi dai backup potevano essere minacciate di divulgazione pubblica.

L’operazione ha colpito più di 1.000 organizzazioni in tutto il mondo, tra cui strutture sanitarie, enti pubblici, aziende e soggetti che gestiscono infrastrutture critiche. Dal 2020 al 2022, gli attacchi hanno raggiunto 47 Stati americani, il Distretto di Columbia, Porto Rico e 31 Paesi stranieri.

Nel gennaio 2022 l’FBI stimava che le vittime associate a Conti avessero pagato più di 150 milioni di dollari. Altre valutazioni attribuiscono all’operazione almeno la stessa cifra nel corso della sua attività, ma non è stato divulgato un dato definitivo sui proventi complessivi.

Il caso di Lytvynenko rappresenta una porzione più limitata e attribuibile individualmente di quella campagna. I procuratori hanno dichiarato che aveva danneggiato personalmente almeno 12 aziende, in linea con i dati relativi alle otto vittime statunitensi e alle quattro straniere che risultavano sotto il suo controllo.

Le organizzazioni non sono state identificate pubblicamente. Non sono noti neppure l’importo richiesto, l’eventuale pagamento da parte delle vittime e la natura dei dati sottratti.

La chiusura di Conti ha disperso i suoi membri nell’economia del ransomware

Conti è emerso dall’operazione di cybercrime Ryuk nel 2020 e manteneva stretti legami con l’organizzazione malware TrickBot. Il sindacato criminale più ampio era associato a diversi strumenti e servizi malevoli, tra cui il ransomware Conti, TrickBot e BazarBackdoor.

La sua struttura interna è diventata più visibile dopo l’invasione su vasta scala dell’Ucraina da parte della Russia nel febbraio 2022. I vertici di Conti hanno espresso pubblicamente il loro sostegno a Mosca; in seguito, una presunta talpa ucraina ha divulgato conversazioni interne e documenti operativi.

Le rivelazioni hanno portato alla luce dettagli sul personale, sulle pratiche di gestione e sulle attività d’attacco. Insieme alla pressione delle forze dell’ordine, le fughe di notizie hanno contribuito alla chiusura di Conti nel 2022.

La chiusura non ha eliminato le sue capacità operative. Personale e infrastrutture si sono frammentati nell’ecosistema del cybercrime e alcuni ex componenti sono stati associati, in senso ampio, a operazioni come BlackCat, Black Basta, ZEON, Hive, Quantum, BlackByte, Karakurt e Silent Ransom Group.

Non esistono prove pubbliche che colleghino Lytvynenko a una di queste organizzazioni. Gli investigatori hanno stabilito soltanto che il suo coinvolgimento nel ransomware è proseguito dopo la fine dell’operazione Conti originaria.

La distinzione è importante perché i gruppi ransomware ritirano spesso i propri brand senza porre fine all’attività criminale sottostante. Gli operatori possono trasferire l’accesso alle reti, le conoscenze sul malware, l’esperienza nelle trattative e i rapporti per il riciclaggio del denaro in progetti con nomi nuovi.

Le autorità hanno continuato ad agire anni dopo gli attacchi

Il procedimento contro Lytvynenko fa parte di una campagna più ampia contro le reti Conti e TrickBot.

Sette persone associate a TrickBot e Conti sono state sottoposte a sanzioni nel febbraio 2023, dopo che le rivelazioni ContiLeaks e TrickLeaks avevano portato alla luce informazioni interne. Nel settembre 2023, Stati Uniti e Regno Unito hanno sanzionato e incriminato nove cittadini russi associati ad attacchi contro più di 900 vittime.

Altri quattro presunti partecipanti a Conti sono stati incriminati in un atto d’accusa separato, reso pubblico nel settembre 2023. Nel 2024, le autorità ucraine hanno poi arrestato a Kyiv un altro presunto membro.

Nel maggio 2025, l’Ufficio federale tedesco di polizia criminale, il Bundeskriminalamt, ha identificato il presunto leader di TrickBot e Conti Vitaly Nikolaevich Kovalev. Il russo, 36 anni, era accusato di operare con lo pseudonimo “Stern”.

Queste azioni sono separate dal caso di Lytvynenko. Le informazioni pubbliche non dimostrano che gli imputati o le persone sanzionate abbiano collaborato direttamente con lui nei 12 attacchi a lui attribuiti.

Il suo arresto dimostra comunque la lunga esposizione legale cui sono soggetti gli operatori ransomware. La distanza geografica e il ritiro di un brand criminale non impediscono necessariamente l’identificazione, l’estradizione e il perseguimento penale a distanza di anni.

I difensori devono cercare le minacce oltre l’evento di cifratura

In relazione alla condanna non sono stati pubblicati indicatori specifici delle vittime. Non sono disponibili hash di malware, domini, indirizzi IP, nomi di file, regole di rilevamento o vulnerabilità che i difensori possano utilizzare direttamente.

Il caso mette invece in evidenza comportamenti che possono comparire nelle fasi iniziali della catena d’attacco. I team di sicurezza dovrebbero monitorare installazioni di software prive di spiegazioni, processi figlio sospetti e loader che recuperano o eseguono payload secondari.

I controlli dovrebbero riguardare anche il furto dei dati, non soltanto la cifratura operata dal ransomware. Tra gli elementi utili da rilevare figurano la creazione anomala di archivi, trasferimenti di grandi quantità di dati verso servizi esterni, accessi non autorizzati al cloud storage e la preparazione dei dati in directory raramente utilizzate dai normali processi aziendali.

Le organizzazioni che indagano su una possibile attività collegata a Conti dovrebbero conservare la telemetria degli endpoint, i registri di autenticazione, i log di rete e le prove delle comunicazioni estorsive. I dataset sottratti e gli account online riutilizzati possono collegare un operatore a più vittime o rivelare un’attività proseguita sotto il nome di un altro gruppo.

I backup restano necessari per il ripristino, ma non neutralizzano la minaccia della divulgazione. I piani di risposta dovrebbero quindi includere il ripristino dei sistemi, la valutazione legale, gli obblighi relativi alla violazione dei dati e le comunicazioni con le parti interessate.

Quando le prove suggeriscono collegamenti con Conti, TrickBot, BazarBackdoor o attività ransomware correlate, le vittime dovrebbero valutare un coordinamento tempestivo con le forze dell’ordine. Nel caso di Lytvynenko, la cooperazione internazionale tra le autorità irlandesi e statunitensi ha trasformato le prove relative a un brand ransomware ormai scomparso in un arresto, un’estradizione, una dichiarazione di colpevolezza e una condanna al carcere.