Một công dân Yemen 36 tuổi, được cho là nhà phát triển và vận hành chính của ransomware ‘Black Kingdom’, đã bị Hoa Kỳ truy tố vì thực hiện 1.500 cuộc tấn công vào các máy chủ Microsoft Exchange.
Nghi phạm, Rami Khaled Ahmed, bị cáo buộc triển khai phần mềm độc hại Black Kingdom trên khoảng 1.500 máy tính tại Hoa Kỳ và nước ngoài, yêu cầu tiền chuộc 10 худ
“Theo cáo trạng, từ tháng 3 năm 2021 đến tháng 6 năm 2023, Ahmed và đồng phạm đã lây nhiễm mạng máy tính của nhiều nạn nhân tại Hoa Kỳ, bao gồm một công ty dịch vụ thanh toán y tế ở Encino, một khu nghỉ dưỡng trượt tuyết ở Oregon, một khu học chánh ở Pennsylvania và một phòng khám y tế ở Wisconsin,” thông báo từ Bộ Tư pháp Hoa Kỳ cho biết.
“Khi phần mềm độc hại thành công, ransomware tạo một ghi chú đòi tiền chuộc trên hệ thống của nạn nhân, hướng dẫn nạn nhân gửi 10.000 USD bằng Bitcoin đến một địa chỉ tiền mã hóa do đồng phạm kiểm soát và gửi bằng chứng thanh toán đến một địa chỉ email của Black Kingdom,” một phần khác của thông báo nêu rõ.
Bộ Tư pháp Hoa Kỳ nhấn mạnh rằng Ahmed đã thiết kế ransomware Black Kingdom để khai thác lỗ hổng trong Microsoft Exchange nhằm truy cập ban đầu vào các máy tính mục tiêu.
Việc này lần đầu được nhà nghiên cứu Marcus Hutchins báo cáo vào tháng 3 năm 2021, khi phát hiện các web shell được triển khai bởi các nhà vận hành ransomware Black Kingdom trên các máy chủ Exchange dễ bị tấn công ProxyLogon.
Lỗ hổng ProxyLogon đề cập đến một tập hợp các lỗ hổng nghiêm trọng trong Microsoft Exchange Server, được công bố và khai thác lần đầu vào đầu năm 2021.
Các lỗ hổng này bao gồm CVE-2021-26855 (Yêu cầu Giả mạo Phía Máy chủ dùng để truy cập ban đầu), CVE-2021-26857 (phân tách không an toàn dùng để nâng quyền lên SYSTEM), và CVE-2021-26858 cùng CVE-2021-27065 (ghi tệp tùy ý dùng để ghi web shell lên máy chủ).
Ngay sau đó, Microsoft xác nhận rằng Black Kingdom đã xâm phạm 1.500 máy chủ Exchange bằng cách khai thác các lỗ hổng ProxyLogon.
Vào tháng 6 năm 2020, được tiết lộ rằng Black Kingdom nhắm vào CVE-2019-11510, một lỗ hổng nghiêm trọng ảnh hưởng đến Pulse Secure VPN, để xâm nhập mạng doanh nghiệp và triển khai các tủ khóa tệp của họ.
Vì các cuộc tấn công Black Kingdom, Ahmed hiện phải đối mặt với các cáo buộc về âm mưu, cố ý gây thiệt hại cho máy tính được bảo vệ và đe dọa gây thiệt hại cho máy tính được bảo vệ.
Nếu bị kết án, Ahmed phải đối mặt với mức án tối đa theo luật định là năm năm tù liên bang cho mỗi tội danh, tổng cộng lên đến 15 năm.
Bộ Tư pháp Hoa Kỳ cho biết Ahmed được cho là đang cư trú tại Yemen.
