Os federais dizem que a cura milagrosa do especialista em ransomware estava apenas pagando aos hackers

Zohar Pinhasi passou anos dizendo às vítimas de ransomware que sua empresa na Flórida poderia recuperar seus arquivos sem pagar aos invasores. Mas os procuradores federais dizem agora que a empresa de Pinhasi simplesmente pagou os resgates em nome das vítimas a preços aumentados.

Pinhasi, 50 anos, cidadão americano e israelense de Hollywood, Flórida, foi processado na quarta-feira no tribunal federal do Brooklyn por duas acusações de fraude eletrônica e uma acusação de conspiração para cometer fraude eletrônica. Ele é dono da MonsterCloud LLC, que o documento de cobrança chama de suposta empresa de remediação de ransomware. Cada contagem tem um máximo de 20 anos.

O diretor assistente encarregado do FBI, James C. Barnacle Jr., que lidera o escritório de campo da agência em Nova York, disse: “Como alegado, Zohar Pinhasi alegou consertar o ransomware sem nunca remediar a ameaça subjacente. Em vez disso, ele transformou a crise da vítima em seu próprio centro de lucro”.

Pinhasi se rendeu na quarta-feira, se declarou inocente e foi libertado sob fiança de US$ 2 milhões, disse o Ministério Público dos EUA ao BleepingComputer.

Como supostamente funcionava o negócio de remediação do MonsterCloud Ransomware

A acusação diz que o site MonsterCloud afirmou que “nossa equipe é especializada em ajudar empresas a recuperar seus dados sem sucumbir às exigências de resgate” e que a empresa fez isso com “técnicas avançadas de descriptografia e tecnologia de ponta” e “ferramentas proprietárias”. Pagar um resgate, alertou o site, não garantiria a recuperação de quaisquer dados, poderia provocar outro ataque e recompensar comportamento ilegal.

Várias empresas contrataram a MonsterCloud especificamente porque não queriam pagar um cibercriminoso e não teriam autorizado um pagamento, alegam os promotores. Muitos deles entraram por meio do formulário Fale Conosco no site, que a acusação trata como prova de que leram o discurso de marketing da empresa. As empresas muitas vezes enfrentavam dificuldades para operar ou sofriam perdas financeiras porque o ransomware as bloqueava de seus arquivos. Centenas deles, nos Estados Unidos e no Canadá, acabaram pagando a empresa.

Os promotores dizem que nem Pinhasi nem os funcionários e contratados que eles descrevem como co-conspiradores tinham um descriptografador especializado. Em vez disso, Pinhasi definiu os preços e administrou as negociações de pagamento do resgate com os invasores. Depois que um controlador fez a entrada, a MonsterCloud citou uma fase de análise, normalmente de US$ 2.500 a US$ 10.000, com garantia de devolução do dinheiro.

Em seguida, o cliente entregava os detalhes do caso, geralmente com dois arquivos de amostra criptografados. Em muitos casos, Pinhasi enviou essas amostras ao invasor, recebeu de volta as versões desbloqueadas e as mostrou ao cliente como prova de que o MonsterCloud poderia descriptografar os arquivos. A recuperação total, diz a acusação, era “um serviço mais caro, custando até duas ou mais vezes o resgate”.

Pinhasi supostamente disse aos funcionários e contratados para dizerem “ferramenta de recuperação” em vez de “descriptografador” e não informarem aos clientes que um resgate havia sido pago. Enquanto o trabalho estava em andamento, ele descreveu o método como um segredo comercial envolvendo “meios e métodos proprietários”.

Os promotores alegam que centenas de empresas pagaram coletivamente à MonsterCloud mais de US$ 19 milhões por serviços de recuperação e remediação de dados, enquanto a Pinhasi pagou aos cibercriminosos mais de US$ 8 milhões em pagamentos de resgate. Por exemplo, por volta de agosto de 2023, Pinhasi supostamente pagou a um invasor cerca de US$ 8.200 e cobrou do cliente cerca de US$ 150.000. A acusação também alega que muitos clientes não foram informados de que haviam sido feitos pagamentos de resgate.

Alguns contratos de recuperação total diziam que o MonsterCloud poderia se comunicar ou pagar criminosos cibernéticos, e somente “depois que todos os meios possíveis de descriptografar diretamente os arquivos do Cliente tivessem sido esgotados”. A acusação diz que o contato com os agressores foi geralmente o primeiro passo, a forma típica como ele obteve as provas e a forma padrão como obteve as chaves.

“Conforme alegado na acusação, ao alegar falsamente descriptografar o ransomware sem pagar aos resgatadores, o réu revitimizou seus clientes enquanto extraía um grande lucro para si mesmo”, disse o procurador dos Estados Unidos Joseph Nocella Jr.

Um porta-voz da MonsterCloud começou a fazer perguntas em 2019

A acusação também cita Pinhasi respondendo a um porta-voz pago que já havia prestado depoimento para o site. Em maio de 2019, essa pessoa o contatou com perguntas sobre suas práticas comerciais e veracidade, e perguntou se a MonsterCloud realmente tinha software proprietário que pudesse descriptografar os dados. “MonsterCloud não possui nenhuma tecnologia proprietária (para) descriptografar os dados do ransomware”, ele supostamente respondeu, acrescentando que explicaria mais detalhadamente em conversas telefônicas.

Essa troca ocorreu no mesmo mês em que a ProPublica publicou uma investigação sobre empresas que prometiam recuperação de ransomware de alta tecnologia e geralmente apenas pagavam aos hackers. MonsterCloud foi uma das duas empresas da história. Na época, Pinhasi disse à ProPublica que os métodos usados ​​pela MonsterCloud variavam de acordo com o caso e eram um segredo comercial, e que a empresa nunca prometeu um método específico. “Se alguém está dizendo que prometemos antecipadamente que seríamos capazes de descriptografar seus arquivos, tenho certeza de que isso é impreciso”, insistiu. Ele também acrescentou: “Trabalhamos nas sombras. Como fazemos isso é problema nosso. Você receberá seus dados de volta. Sente-se, relaxe e aproveite o passeio”.

Pinhasi também disse à ProPublica que a MonsterCloud se reuniu com o FBI para compartilhar o que sabia sobre ransomware. John Pistole, ex-vice-diretor do FBI e ex-administrador da Administração de Segurança de Transporte, era o único membro nomeado do Conselho Consultivo de Segurança Cibernética da MonsterCloud na época e apareceu em um vídeo promocional vendendo a “tecnologia proprietária” da empresa.

O artigo da ProPublica também cobriu uma série de casos de ransomware envolvendo autoridades locais. Em Trumann, Arkansas, a MonsterCloud restaurou décadas de notas de casos e folhas de pagamento para as autoridades locais em 72 horas, renunciou a uma taxa de cerca de US$ 75 mil e garantiu ao departamento que não havia pago resgate. O chefe Chad Henson, do Departamento de Polícia de Trumann, chamou o pagamento com o dinheiro dos contribuintes de “a opção nuclear”, mas Pinhasi disse à ProPublica que o trabalho de aplicação da lei foi elogioso: “Nunca houve um cêntimo do dinheiro dos contribuintes usado para qualquer resgate em que estivemos envolvidos”. Ele se recusou a dizer como os arquivos de Trumann foram recuperados.

Incrivelmente, o site MonsterCloud ainda está ativo e vendendo a mesma ideia, e uma página de remoção de ransomware ainda apresenta o ex-vice-diretor do FBI, John Pistole, descrevendo o processo de recuperação da empresa, além de depoimentos de vários departamentos de polícia. E a página inicial ainda diz às vítimas para não pagarem. “Não pague o resgate: dar dinheiro aos agentes da ameaça que atacaram você não garante absolutamente nada além de fornecer-lhes um incentivo para retornarem para ataques subsequentes”, diz o site.