Zohar Pinhasi, dueño de la empresa MonsterCloud, ha sido acusado de fraude por cobrar sumas exorbitantes a víctimas de ransomware bajo la falsa promesa de usar tecnología propia para recuperar sus datos. En realidad, Pinhasi pagaba secretamente el rescate a los atacantes y lucrarse con la diferencia, facilitando más de 8 millones de dólares en pagos criminales. De ser declarado culpable, podría enfrentar hasta 20 años de prisión.





El propietario de la empresa de remediación de ransomware MonsterCloud ha sido acusado de estafar presuntamente a las víctimas de ransomware al pagar secretamente a los atacantes por los descifradores, mientras afirmaba utilizar tecnología propia para recuperar los datos cifrados.

Zohar Pinhasi, de 50 años, también conocido como "Zack Silver" y "Zack Green", fue procesado por un gran jurado federal en el Distrito Este de Nueva York el 23 de septiembre y compareció el miércoles ante el tribunal federal de Brooklyn.

Se le acusa de un cargo de conspiración para cometer fraude electrónico y dos cargos de fraude electrónico en relación con un presunto esquema de descifrado de ransomware que, según los fiscales, operó desde junio de 2018 hasta junio de 2023.

La Fiscalía de los Estados Unidos informó que Pinhasi se entregó el miércoles, se declaró inocente y fue puesto en libertad bajo una fianza de 2 millones de dólares.

Según la acusación, Pinhasi era propietario y operaba MonsterCloud LLC, una empresa de remediación de ransomware con sede en Florida que anunciaba herramientas y técnicas de descifrado para recuperar datos cifrados sin pagar a los cibercriminales.

Los fiscales alegan que Pinhasi y sus co-conspiradores no disponían de dicha tecnología de descifrado propia y, en su lugar, contactaban con los operadores de ransomware, les pagaban las claves de descifrado y luego utilizaban esas claves para restaurar los archivos de los clientes.

La acusación reconoce que algunos contratos de MonsterCloud revelaban que la empresa podría comunicarse con los cibercriminales o pagarles. Sin embargo, dichos contratos afirmaban presuntamente que MonsterCloud solo contactaría a los atacantes si no pudiera descifrar los archivos de un cliente por otros medios.

Los fiscales sostienen que tratar con cibercriminales era habitualmente el primer paso de MonsterCloud para obtener las claves de descifrado y recuperar los archivos.

"Como se alega en la acusación, al afirmar falsamente que descifraba el ransomware sin pagar a los extorsionadores, el acusado revictimizó a sus clientes mientras obtenía un beneficio considerable para sí mismo", afirmó el fiscal de EE. UU. Joseph Nocella Jr. en este comunicado.

"Nuestra oficina perseguirá enérgicamente a los atacantes de ransomware que se aprovechan de los estadounidenses en todo el mundo y a quienes lucran cínicamente con su actividad criminal".

Presuntamente, MonsterCloud cobraba a los clientes mucho más que los rescates que pagaba.

En un incidente de recuperación de ransomware citado en la acusación, Pinhasi habría pagado a una banda de ransomware unos 8.200 dólares y cobrado a la víctima aproximadamente 150.000 dólares. En otro caso, los fiscales afirman que pagó aproximadamente 236.000 dólares y cobró al cliente unos 380.000 dólares.

La acusación también alega que MonsterCloud utilizó archivos de muestra descifrados como "pruebas de recuperación" para convencer a las víctimas de que podía restaurar sus datos, a pesar de que esas muestras descifradas procedían de las propias operaciones de ransomware.

A lo largo del presunto esquema, los fiscales afirman que Pinhasi y sus co-conspiradores facilitaron más de 8 millones de dólares en pagos de rescate, mientras cobraban a cientos de empresas en Estados Unidos y Canadá más de 19 millones de dólares por servicios de recuperación y remediación.

De ser condenado, Pinhasi se enfrenta a hasta 20 años de prisión.

Se contactó a los abogados de Pinhasi, Christopher Clark y Rodney Villazor, para obtener comentarios sobre las alegaciones y se actualizará la noticia si se recibe respuesta.

preocupaciones similares planteadas en 2019

Una investigación de ProPublica de 2019 informó sobre preocupaciones similares respecto a MonsterCloud, incluyendo que la empresa a veces pagaba a los operadores de ransomware mientras afirmaba ofrecer una solución distinta al pago de los atacantes.

Como parte de esa investigación, el investigador de seguridad Fabian Wosar dijo a ProPublica que él y otro investigador crearon su propio ransomware y se acercaron a varias empresas de recuperación fingiendo ser víctimas.

Los investigadores proporcionaron a las firmas de recuperación notas de rescate que contenían direcciones de correo electrónico controladas por ellos para la falsa banda de ransomware. Según Wosar, esas cuentas controladas por el "atacante" pronto recibieron mensajes anónimos ofreciendo pagar el rescate.

"Pronto, las cuentas de correo electrónico que había configurado para el atacante imaginario empezaron a recibir correos de direcciones anónimas ofreciendo pagar el rescate", informó ProPublica, citando a Wosar. "Rastreó las solicitudes hasta las empresas de recuperación de datos, incluidas MonsterCloud y Proven Data".

ProPublica informó que MonsterCloud había afirmado que podía recuperar los archivos cifrados sin decirle a la supuesta víctima que planeaba pagar al atacante.

Pinhasi negó que MonsterCloud hubiera prometido de antemano que podía descifrar los archivos y negó haber engañado a los clientes.

También dijo a ProPublica que los métodos de recuperación de MonsterCloud variaban según el caso y se negó a revelarlos, describiendo las técnicas como un "secreto comercial".

Fuente:
BleepingComputer