Arrestati quattro hacker dietro il ransomware Phobos

La polizia thailandese ha arrestato quattro hacker europei accusati di aver causato danni per circa 16 milioni di dollari tramite campagne con il ransomware Phobos.

L’ “Operation PHOBOS AETOR“, guidata dalle autorità thailandesi, svizzere e statunitensi, si è conclusa a Phuket, in Thailandia, con la cattura di due uomini e due donne che avrebbero colpito oltre 1.000 vittime in tutto il mondo col proprio ransomware.

“La polizia ha sequestrato oltre 40 prove, compresi telefoni cellulari, laptop e portafogli digitali” si legge su Khaosod, una testata giornalistica thailandese. “I sospetti sono accusati di cospirazione per aver commesso reati contro gli Stati Uniti e cospirazione per aver commesso frodi telematiche“.

All’operazione ha partecipato anche l’Interpol, contattata dalle autorità svizzere e statunitensi che hanno richiesto un mandato di cattura internazionale per i cybercriminali.

Phobos, individuato per la prima volta nel 2019, viene distribuito tramite connessioni RDP sui dispositivi delle vittime. Basato ampiamente su Dharma (o CrySis), il ransomware cifra non solo i file del disco locale, ma anche le cartelle di rete condivise. Stando all’analisi di ThreatDown di Malwarebytes, il malware sfrutta numerosi meccanismi di persistenza e ciò lo rende molto aggressivo, permettendogli di infettare il dispositivo più volte; inoltre, può cifrare i file senza connessione a Internet.

La nota del riscatto viene creata non appena inizia la routine di cifratura. Nel messaggio gli attaccanti indicano la possibilità alle vittime di inviare cinque file per farli decifrare gratuitamente, purché non siano più grandi di 10Mb, non siano archivi compressi e non contengano informazioni di valore per l’organizzazione.

Secondo quanto rivelato dalle autorità, gli hacker hanno colpito 17 organizzazioni con sede in Svizzera dal 30 aprile 2023 al 26 ottobre 2024. Il gruppo richiedeva un riscatto in criptovalute e minacciava di pubblicare i dati sottratti in caso di mancato pagamento. I riscatti venivano poi riciclati su piattaforme di Coin Mixer per nascondere le transazioni.

Al momento i sospetti si trovano in custodia giudiziaria e le loro identità non sono state rivelate, mentre le indagini proseguono per comprendere la reale estensione del gruppo.