La settimana scorsa un professionista della cybersecurity con sede in Canada è stato arrestato negli Stati Uniti con il sospetto di essere coinvolto in ShinyHunters, compresa l'intrusione del gruppo nei sistemi dell'FBI. Secondo SecurityWeek, il direttore dell'FBI Kash Patel ha annunciato l'arresto un venerdì. La Royal Canadian Mounted Police ha dichiarato alla CBS News di essere al corrente che un cittadino canadese è stato arrestato negli Stati Uniti in relazione a ShinyHunters.
Chi è stato arrestato e di cosa è accusato
Le autorità non hanno ancora identificato ufficialmente il sospettato. Il New York Times e il blogger Brian Krebs riportano che si tratta di Edward Dubrovsky, un canadese specializzato nella risposta agli attacchi ransomware. Gli atti giudiziari, riportati da SecurityWeek, scrivono invece il cognome «Dobrovsky».
Secondo questa ricostruzione, sarebbe stato arrestato dall'FBI dopo essersi recato a Filadelfia per una conferenza. Risulterebbe collegato a CyberSteward, un'azienda con sede a Toronto che offre servizi di negoziazione per i riscatti ransomware. Stando a quanto riportato, il suo profilo LinkedIn indica ruoli dirigenziali in due aziende di cybersecurity nordamericane, che però non vengono nominate. Sarebbe inoltre l'autore di Cyber Extortion: Strategic Response.
Gli atti giudiziari riportano due capi d'accusa:
- cospirazione per minacciare di compromettere la riservatezza di informazioni con l'intento di estorcere denaro;
- interferenza con il commercio mediante minacce.
Il caso sarebbe stato trasferito al Distretto Orientale del Texas, dove si dice che sia condotta l'indagine dell'FBI su ShinyHunters. Fonti hanno riferito a Krebs che anche dirigenti di altre società di negoziazione ransomware potrebbero essere accusati nel procedimento. Si tratta di un'affermazione non confermata.
Patel ha definito questo l'ultimo arresto «nel giro di pochi giorni» legato alla rete. Ha detto che l'FBI sta lavorando per smantellare il gruppo e seguire nuove piste, e che collaborerà con i partner per colpire «quello che resta» di ShinyHunters e dei suoi affiliati, «ovunque operino».
L'intrusione nei sistemi dell'FBI
ShinyHunters, gruppo dedito all'estorsione, ha dichiarato di aver avuto accesso al sito per il reclutamento dell'FBI e ad altri sistemi. Afferma di aver ottenuto informazioni su quasi tutti gli agenti e i candidati. Si tratta di affermazioni del gruppo. Il gruppo ha descritto l'attacco come una ritorsione per un rapporto dell'FBI, pubblicato all'inizio dell'anno, che metteva in guardia le organizzazioni sulle attività di ShinyHunters.
L'FBI ha invece fornito un'altra versione del punto d'ingresso. Secondo SecurityWeek, ha attribuito l'intrusione alla mancata applicazione delle patch, da parte di un fornitore esterno, su una versione vulnerabile di Oracle PeopleSoft. Il rapporto non cita alcun CVE, né una versione interessata o una patch.
La fonte descrive il ruolo del sospettato in questa intrusione solo come presunto. Non dice quale parte avrebbe avuto.
Terzo arresto in poche settimane
SecurityWeek conta questo come il terzo arresto legato a ShinyHunters nelle ultime settimane:
- 15 settembre: un presunto membro di primo piano è stato arrestato nei Paesi Bassi. Un articolo precedente ha approfondito il lato olandese dell'indagine.
- 28 settembre: un altro presunto membro di primo piano sarebbe stato arrestato in Giordania e collaborerebbe, secondo quanto riportato, con l'FBI.
Stato del gruppo
Alla fine di settembre, ShinyHunters avrebbe dichiarato che le sue operazioni e la sua infrastruttura non erano state compromesse, e ha esortato le vittime a pagare. Le dichiarazioni che il gruppo aveva indirizzato all'FBI e alle vittime sono state poi rimosse dal suo sito basato su Tor. Al momento della pubblicazione dell'articolo di SecurityWeek, il sito risultava, secondo quanto riportato, non più accessibile.
Le organizzazioni che usano Oracle PeopleSoft, o che si affidano a fornitori che lo usano, possono trarre un'indicazione concreta dalla spiegazione dell'FBI: verificare che le patch su questi sistemi siano aggiornate, anche presso le terze parti.
