Estados Unidos anunció este martes que ofrece una recompensa de hasta USD 10 millones por cualquier información que conduzca a la detención del ciudadano ruso Mikhail Pavlovich Matveev, acusado de perpetrar ciberataques a hospitales, agencias gubernamentales, escuelas, empresas y fuerzas de seguridad para robar datos sensibles y exigir pagos de rescates.  Mikhail Matveev, ‘Wazawaka,’ está acusado de participar en ataques de ransomware que le habrían servido para recolectar unos USD 200 millones en pagos de rescates. El problema es que Wazawaka vive en Rusia y no tiene previsto moverse, ya que Estados Unidos no tiene acuerdo de extradición con Rusia. “La Madre Rusia te ayudará”, concluyó Wazawaka. “Ama a tu país, y siempre te saldrás con la tuya”. A Matveev le falta el dedo anular de la mano izquierda y tiene un gran tatuaje en el brazo derecho.

Acusado de ataques a infraestructura crítica

Estados Unidos anunció este martes que ofrece una recompensa de hasta 10 millones de dólares por información que conduzca a la captura del ruso Mikhail Pavlovich Matveev, quien afronta una acusación de más de 20 años de cárcel por robo de datos de agencias gubernamentales.

Matveev vive en el enclave ruso de Kaliningrado y visita regularmente la ciudad rusa de San Petersburgo, según Azim Khodjibaev, analista senior de amenazas de Cisco Talos, que ha seguido a Matveev durante años.

• "No cagues donde vives, viaja localmente y no salgas al extranjero", dijo Wazawaka sobre su mantra personal.

• "La madre Rusia os ayudará", concluye Wazawaka. "Amad a vuestro país y siempre os saldréis con la vuestra".

"Hemos tomado esta medida por el papel de Matveev en actividades de secuestro de datos dirigidas contra fuerzas del orden, empresas e infraestructura clave de Estados Unidos en todo el mundo", explicó en un comunicado el portavoz del Departamento de Estado, Matt Miller.

Además de la recompensa, el Departamento de Justicia presentó dos acusaciones contra Martveev ante un tribunal del Distrito de Columbia y otro del Distrito de Nueva Jersey; y el Departamento del Tesoro le impuso sanciones financieras.

Según la Fiscalía estadounidense, Matveev, conocido en internet como Wazawaka, habría recabado 200 millones de dólares en rescates pagados por víctimas de secuestro de datos digitales desde 2020.

Desde su domicilio en Rusia, Matveev lideró o participó en grandes campañas de secuestro de datos, de bandas de ransomware como LockBit, Babuk y Hive, contra casi 3.000 víctimas, entre ellas hospitales y agencias gubernamentales.

El 26 de agosto de 2020, un nuevo usuario llamado Biba99 se registró en el foro de ciberdelincuencia en inglés RaidForums. Pero la cuenta de Biba99 no publicó en RaidForums hasta el 31 de diciembre de 2020, cuando anunciaron la creación del programa de afiliados al ransomware Babuk.

Todos los ciberataques seguían el mismo "modus operandi": los delincuentes identificaban y accedían ilegalmente a sistemas informáticos, pirateándolos o comprando credenciales de acceso robadas, para luego implementar un programa maligno de robo de datos y negociar un recate con la víctima.

Las autoridades estadounidenses han acusado a Matveev ante la Justicia de haber conspirado para hackear equipos informáticos protegidos y para solicitar rescates, por lo que se enfrenta a una pena de prisión de más de 20 años si es declarado culpable.

Las sanciones del Tesoro estadounidense bloquean todas sus propiedades en Estados Unidos y prohíben las transacciones financieras y comerciales con Matveev.

"Estados Unidos no tolerará los ataques de secuestro de datos contra nuestra gente y nuestras instituciones", dijo en un comunicado el subsecretario del Tesoro para Terrorismo e Inteligencia Financiera, Brian Nelson.

Según el Tesoro, el 75 % de los ciberataques relacionados con el robo de datos están vinculados con Rusia.

LockBit, Babuk y Hive

 

Las acusaciones contra Mikhail Pavlovich Matveev señalan que participó con los alias Wazawaka, m1x, Boriselcin y Uhodiransomwar en conspiraciones para desplegar tres operaciones de secuestro de datos -identificadas como LockBit, Babuk y Hive- entre enero de 2020 y junio de 2021 que afectaron a unas 3.000 víctimas en todo el mundo y que le habrían servido para recolectar unos USD 200 millones en pagos de rescates.

Según la investigación, los tres ataques se realizaron de la misma manera: primero identificó y accedió ilegalmente a sistemas informáticos vulnerables, a veces mediante su pirateo o comprando credenciales de acceso robadas a terceros; luego instaló un programa maligno que le permitió cifrar y robar datos; después envió una nota de rescate a los afectados exigiendo un pago para abstenerse de divulgar sus datos en un sitio web público; y, por último, negoció la cantidad de dinero que cada víctima estuvo dispuesta a pagar.

La acusación obtenida en el Distrito de Columbia precisó que Matveev lideró el ataque Babuk contra el Departamento de Policía Metropolitana en Washington DC el 26 de abril de 2021 y amenazó con revelar información sensible al público a menos que se hiciera un pago. Luego, según las autoridades estadounidenses, Matveev admitió en un reportaje de la empresa privada de ciberseguridad Recorded Future en 2022 que tomó la decisión de divulgar esos datos de la Policía en un sitio web de filtraciones porque fracasaron las negociaciones sobre el rescate.

“El robo de datos y los intentos de extorsión por parte de grupos de ransomware son ataques corrosivos y cínicos contra instituciones clave y las buenas personas que están detrás de ellas mientras realizan su trabajo y sirven al público”, dijo Matthew M. Graves, fiscal federal del Distrito de Columbia. “Tanto si estos delincuentes atacan a las fuerzas del orden, a otros organismos públicos o a empresas privadas como los proveedores de asistencia sanitaria, utilizaremos todas las herramientas a nuestro alcance para perseguir y castigar estos delitos. Gracias al excepcional trabajo de nuestros socios aquí, hemos identificado y acusado a este culpable”.

MATVEEV, Mikhail Pavlovich (a.k.a. MATVEEV, Mihail Pavlovich; a.k.a. MATVEYEV, Mikhail P; a.k.a. "BORISELCIN"; a.k.a. "M1X"; a.k.a. "MATVEYEV, Mikhail Mix" (Cyrillic: "МАТВЕЕВ, Михаил Mix"); a.k.a. "MATYEEV, Mikhail" (Cyrillic: "МАТВЕЕВ, Михаил"); a.k.a. "UHODIRANSOMWAR"; a.k.a. "WAZAWAKA"), 8 Serzhana Koloskova Street, Apartment 6, Kaliningrad, Russia; DOB 17 Aug 1992; nationality Russia; Gender Male; Secondary sanctions risk: Ukraine-/Russia-Related Sanctions Regulations, 31 CFR 589.201; Passport 733584513 (Russia) (individual) [CYBER2].

Informes anteriores revelaron que los alter egos de Matveev incluían a "Orange" (antes TetyaSluha), el fundador del foro de ransomware RAMP. RAMP son las siglas de "Ransom Anon Market Place, y los analistas de la firma de seguridad Flashpoint afirman que el foro se creó "directamente en respuesta a que varios grandes foros de la Dark Web prohibieron los colectivos de ransomware en su sitio tras el ataque Colonial Pipeline del grupo de ransomware 'DarkSide."

En un hilo tras otro del foro de delincuencia XSS, se podía ver al supuesto alias de Matveev, "Uhodiransomwar", publicando enlaces de descarga a bases de datos de empresas que se negaron a negociar al cabo de cinco días.

Mapa del investigador Krebs sobre el investigado: 

 Wazawaka dijo que el cierre de NetWalker se debió a que su administrador (también conocido como "Bugatti") se volvió codicioso, y a continuación procedió a predicar sobre la necesidad de cambiar periódicamente la marca de la identidad cibercriminal de cada uno.

"He tenido algunos negocios con Bugatti", dice Wazawaka. "El tipo se hizo demasiado rico y empezó a reclutar estadounidenses como socios afiliados. Lo que ha pasado ahora es el resultado. Pero no pasa nada. Deseo que Bugatti haga algo de rebranding y empiece desde el principio  En cuanto a los servidores que fueron incautados, deberían haber alojado sus paneles de administración en Rusia para evitar que sus servidores fueran incautados por la INTERPOL, el FBI o lo que sea."

 Fuentes:
https://www.infobae.com/estados-unidos/2023/05/16/estados-unidos-ofrece-usd-10-millones-para-la-captura-de-un-hacker-ruso-que-robo-informacion-sensible/

https://www.fbi.gov/wanted/cyber/mikhail-pavlovich-matveev

https://home.treasury.gov/news/press-releases/jy1486

https://www.state.gov/mikhail-pavlovich-matveev/

https://www.justice.gov/opa/pr/russian-national-charged-ransomware-attacks-against-critical-infrastructure

https://talosintelligence.com/resources/152

https://krebsonsecurity.com/2022/01/who-is-the-network-access-broker-wazawaka/