Ransomware BlackCat simula encerramento para roubar $22M a afiliado

A confiança nos operadores de ransomware vai sofrer com a mais recente manobra do grupo BlackCat / ALPHV, que diz ter sido encerrado pelas autoridades para escapar com milhões de euros de um dos seus afiliados.

Tal como a maioria dos principais grupos de ransomware, o BlackCat funciona nos moldes de "ransomware-as-a-service", em que qualquer pessoa pode recorrer aos seus serviços para infectar as suas vítimas. Desta forma, até pequenos grupos, ou pessoas individuais, podem usufruir das vantagens de um ransomware já feito, com toda a infraestrutura de suporte e de pagamentos. Mas, isso também tem os seus problemas.

O site do grupo BlackCat deixou de estar operacional, inicialmente com mensagens que diziam ter encerrado por opção própria e que estavam a vender o seu sistema, mas pouco depois dizendo que era por culpa das autoridades, chegando ao ponto de apresentar a habitual imagem do site confiscado. Até poderia ser o caso, não fossem algumas das autoridades indicadas na página dizerem que não tinham nada a ver com o assunto.

Isso faz com que ganha credibilidade que a verdadeira razão para o encerramento do serviço tenha sido a ganância dos responsáveis pelo BlackCat, havendo relatos de que terão decidido ficar com um avultado resgate de 22 milhões de dólares (mais de 20 milhões de euros) pertencente a um dos seus afiliados. Esse afiliado também terá disponibilizado um endereço que efectivamente comprova que tinha sido feito um pagamento desse valor, mas que em vez de reverter a seu favor, terá sido redireccionado pelos administradores do BlackCat para serviços de transferência e lavagem de criptomoedas.

Vai ser interessante ver se este caso de "ladrão que rouba a ladrão" irá ter repercussões pelo resto dos grupos de ransomware, de modo a dar maior confiança aos seus afiliados de que o dinheiro dos resgates será entregue.


Nota: também não deixaria de ser interessante se, daqui por uns tempos, se viesse a descobrir que isto tinha sido efectivamente uma manobra por parte das autoridades, com o objectivo de arruinar a confiança nestes esquemas de ransomware-as-a-service.