Федеральный суд Нью-Йорка приговорил гражданина Украины Артёма Стрыжака к 70 месяцам лишения свободы за участие в группировках Nefilim и Hive. Это не история об одном зашифрованном сервере: вымогательские атаки, в которых он участвовал, затронули бизнес и больницу в разгар пандемии, а американские власти в очередной раз показывают, что роль «аффилиата» не защищает от уголовного преследования.
Стрыжака задержала испанская полиция в июне 2024 года, а в апреле 2025-го его экстрадировали в США. Как пишет The Register, следствие считает, что к Nefilim он присоединился примерно в июне 2021 года, когда жил в Барселоне. Параллельно он стал одним из ранних партнёров Hive и, по версии обвинения, через её инфраструктуру атаковал около семи организаций.
Nefilim работала по модели ransomware-as-a-service: операторы поддерживали вредоносную платформу и инфраструктуру, а партнёры искали жертв, получали доступ к их сетям и запускали шифрование. По судебным материалам, Стрыжак договорился с предполагаемым руководителем Nefilim Владимиром Тимощуком передавать группе 20% полученных выкупов. Сам Тимощук остаётся в розыске.
Интересны и критерии отбора целей. Сначала предполагаемый глава Nefilim рекомендовал атаковать компании из США, Канады и Австралии с годовой выручкой свыше 100 млн долларов. Затем планку подняли до 200 млн долларов. Это вполне прагматичная арифметика преступного бизнеса: крупная компания чаще имеет страхование, резервный бюджет, критичные процессы и более болезненную цену простоя. Для атакующих оборот жертвы был не справочной цифрой, а фильтром платёжеспособности.
Две группировки, один рынок партнёров
Участие одного человека сразу в Nefilim и Hive показывает, насколько условны границы между ransomware-брендами. В этой экономике специализации легко переносятся: доступ в корпоративную сеть, навыки бокового перемещения, инструменты эксфильтрации данных и контакты с посредниками полезны независимо от названия шифровальщика на записке с требованием выкупа. Закрытие одной инфраструктуры не означает автоматического исчезновения людей, которые умеют искать и монетизировать уязвимые сети.
Операторы Hive заявляли примерно о 1 500 жертвах по миру с июня 2021 года до января 2023-го, когда международная операция правоохранителей захватила инфраструктуру группировки. Среди пострадавших были юридическая фирма и больница в Огайо. Во время пандемии медучреждение выплатило около 1,7 млн долларов в биткоинах после первоначального требования на 2 млн долларов. Для больницы шифрование систем — это не только финансовый инцидент и восстановление из бэкапа; оно способно сорвать расписание, доступ к данным пациентов и работу клинических подразделений.
Hive получила известность именно атаками на здравоохранение в период COVID-19, а также участием в масштабной кампании против организаций Коста-Рики в 2022 году. Nefilim, в свою очередь, была ориентирована на обеспеченные компании. Одним из наиболее заметных эпизодов стала атака на австралийскую логистическую группу Toll Group в 2020 году: файлы компании зашифровали примерно через три месяца после отдельной атаки с использованием Mailto ransomware. Плохая новость здесь очевидна: восстановление после одного инцидента ещё не делает организацию менее привлекательной для следующего.
Помощник директора киберподразделения ФБР Бретт Лезерман назвал Стрыжака активным киберпреступником и заявил, что группировки, с которыми тот был связан, нанесли жертвам ущерб более чем на 100 млн долларов. Эта цифра относится к деятельности групп, а не к лично доказанному доходу Стрыжака, и смешивать эти две величины было бы удобной, но неточной журналистской привычкой. В заявлении ФБР также подчеркнули вклад нескольких региональных офисов и международных партнёров в расследование.
Что вынести из дела бизнесу и ИТ-командам
Для российских ИТ-руководителей и команд безопасности дело полезно не моралью о том, что преступников когда-нибудь найдут, а деталями модели угроз. Атакующие выбирали компании по масштабу бизнеса, а не по отраслевой романтике. Значит, защита должна исходить из предположения, что публичный рост, международные операции и зависимость от цифровых процессов повышают интерес злоумышленников. Вымогательские атаки обычно начинаются не с красивого окна шифровальщика, а с компрометации учётной записи, не закрытого вовремя внешнего сервиса или слишком широких прав доступа.
Минимальный практический набор давно известен, но от этого не становится факультативным: многофакторная аутентификация для удалённого доступа и администраторов, сегментация сети, проверяемые резервные копии вне основного домена, журналирование и отработанный план изоляции. Отдельно стоит заранее решить, кто в первые часы инцидента получает право отключать системы, общаться с юристами, страховщиками, подрядчиками и руководством. В момент атаки документ, который никто не открывал с прошлого аудита, помогает примерно как пароль в Excel-файле 2007 года.
Приговор Стрыжаку не закрывает Nefilim и Hive задним числом и не превращает ransomware в исчезающую угрозу. Но он повышает цену участия в экосистеме, где исполнители привыкли считать себя расходным слоем между жертвой и операторами. Тимощук всё ещё находится в розыске, а Минюст США напоминает о вознаграждениях общим объёмом до 11 млн долларов за информацию о нём и других ключевых подозреваемых. Для компаний вывод проще и неприятнее: вымогательские атаки остаются управляемым, но не редким операционным риском, а международная география преступников больше не гарантирует им дистанцию от суда.
