Evil Corp — российская хакерская группировка. (NCA) считает группировку «самой вредоносной в мире» . За информацию, которая приведёт к аресту главаря группировки Максима Якубца США готовы заплатить пять миллионов долларов. По данным исследователей из , Evil Corp в 2021 году получила около 10 % всех доходов от программ-вымогателей , что делало группировку крупнейшей в мире на этом «рынке» .

По данным Минфина США, с 2017 года Evil Corp работает на ФСБ . В конце 2019 года издание « Медуза » в своём расследовании подтвердило тесные связи членов группы с российскими силовиками .

Атаки

Evil Corp существует как минимум с 2007 года. Первоначально группировка выступала в роли партнёров для других хакерских групп. Затем они создали собственный банковский троян троян Dridex . Он устанавливался через заражённый файл Word . Так Evil Corp заражала десятки тысяч компьютеров по всему миру. Dridex постоянно эволюционировал, превращаясь в сложный инструмент. Через него со временем Evil Corp стала устанавливать на компьютеры жертв собственную программу-вымогатель BitPaymer .

После попадания Evil Corp в американские санкционные списки в декабре 2019 с группировкой из-за опасения вторичных санкций перестали работать компании-переговорщики, которые обычно договариваются об уплате выкупа и расшифровке данных. В июне 2020 года группировка вынужденно переключилась на использование зловреда WastedLocker, в 2021 году появился шифровальщик Hades ( букв. « Аид ») (это был 64-битный улучшенный вариант WastedLocker). После Evil Corp выдавала себя за группировку PayloadBin (бывший Babuk) и использовала вымогатели Macaw и Phoenix . Также предполагали, что они могут стоять за вымогателем DoppelPaymer, сменившем имя на Grief . Летом 2022 года исследователи из связали с Evil Corp кластер UNC2165, который использует сторонний шифровальщик LockBit .

24 июля 2020 американский производитель устройств и сервисов для навигации Garmin подвергся атаке вируса-вымогателя WastedLocker. В результате на несколько дней была остановлена работе сервисов и приложений компании. По сообщениям инсайдеров, компании пришлось заплатить вымогателям из Evil Corp 10 млн долларов . В октябре 2021 группировка использовала шифровальщик Macaw Locker для атак и Olympus и затем требовала с компаний десятки миллионов долларов .

В феврале 2022 года американская аналитическая компания заявила, что только за 2021 год хакеры из России заработали на вымогательстве свыше $400 млн или около 74 % всего «рынка». Крупнейшей по доходам группировкой является Evil Corp, на них приходится 9,9 % всех известных доходов от программ-вымогателей в мире .

Преследование

13 ноября 2019 года Министерство юстиции США подало документы в Федеральный окружной суд Восточного округа Пенсильвании, обвинив Evil Corp в лице Максима Якубца и Игоря Турашева в ряде киберпреступлений .

14 ноября 2019 года окружной суд штата Небраска обвинил Якубца, что он скрывался под никнеймом aqua и связан с распространением трояна ZeuS .

5 декабря Управление по контролю за иностранными активами Минфина США включило Якубца, известных членов Evil Corp и 24 юридических лица, связанных с обналичкой их преступных средств, в санкционный SDN-список .

Государственный департамент США назначил вознаграждание за помощь в поимке Якубца самую большую награду в истории преследования киберпреступников — 5 млн долларов .

После появления информации о включении Evil Corp в санционные списки члены группировки стали затирать информацию в социальных сетях .

Минфин США считает, что ФСБ использует членов Evil Corp для шпионажа. Так, по данным ведомства, одним из заданий Якубца было получение доступа к неназванным «конфиденциальным документам». Министерство иностранных дел России эти обвинения называли «пропагандистской атакой» .

Члены группировки

Группировка сформировалась около 2011 года, на конец 2019 года, по данным расследования минюста США, в неё входили 17 человек из 6 стран. Значительное число участников — выходцы или граждане Украины . Из Украины происходит и лидер группировки Максим Якубец .

Якубец ещё в 2010 году проходил обвиняемым по американскому делу хакерской группировки Jabber Zeus Crew, заражавшей компьютеры трояном ZeuS для кражи денег с электронных кошельков и банковских счетов по всему миру. Якубца могли обвинить по двум статьям уголовного кодекса США: «посягательство на совершение преступления» и «мошенничество в банковской сфере». Ему грозило несколько десятков лет заключения. Тогда российская ФСБ сотрудничала с американскими правоохранителями и 24 ноября 2010 года пришла с обыском в московскую квартиру Якубца. Вычислить его оказалось несложно, так как рабочую почту он использовал для заказа на дом детской коляски для своего сына. Вероятно, после тех обысков он был завербован российскими «силовиками», которые с конца 1990-х обеспечивали покровительство хакерам за «выполнение государственных задач» .

Летом 2017 года совместная группа расследователей из ФБР (США), Национального центра кибербезопасности ( Германия ) и ( Великобритания ) установила, что Якубец сыграл роскошную свадьбу стоимостью 500—600 тысяч долларов. На ней в качестве приглашенного артиста выступал Леонид Агутин . Радио «Свобода» выяснило, что невестой была Алёна Бендерская, дочь Эдуарда Бендерского — ветерана спецназа ФСБ «Вымпел» , главы одноименного объединения частных охранных предприятий, участника скандалов, связанных с охотой на краснокнижных животных. Министерство финансов США утверждало, что Якубец с апреля 2018 находился в процессе получения лицензии ФСБ на работу со сведениями, составляющими государственную тайну .

Самым публичным участником Evil Corp был Андрей Плотницкий, сын бывшего главы подмосковных Химок Владимира Стрельченко . Плотницкий, как и другие члены группировки, владеют дорогими спортивными автомобилями, в том числе несколькими Lamborghini , на которых устраивали заезды по Москве и Сочи. В Сочи члены Evil Corp часто отдыхали, опасаясь выезжать за пределы России. Как минимум на 4 машинах группировки номерные знаки образовывали слово «ВОР» .

В ноябре 2021 года журналисты ВВС опубликовали расследование, в котором рассказали, что системный администратор группировки Игорь Турашев управляет несколькими предприятиями из комплекса «Федерация» в Москва-Сити . Там же базируются несколько криптовалютных компаний, которые использовались хакерами для отмывания незаконных средств и конвертации криптовалюты в фиатные деньги .

Примечания