Der Urheber der Ransomware-Operation Ransom Cartel ist in den USA zu einer mehrjährigen Haftstrafe verurteilt worden. Laut US-Justizbehörden erhielt Maksim Silnikau insgesamt 16 Jahre Gefängnis für seine Rolle in Angriffen, die sich gegen mindestens 18 Unternehmen richteten.
In der Anklage und den Gerichtsunterlagen wird beschrieben, dass Silnikau über Jahre hinweg in Foren der Cyberkriminalität aktiv gewesen sein soll, Werkzeuge bereitstellte und den Ablauf der Angriffe mitorganisierte. Neben der Strafe nannten die Behörden auch Details zu den mutmaßlichen Methoden, mit denen die Täter Zahlungen und Datenabflüsse durchsetzen wollten.
16 Jahre Haft für den Betreiber von Ransom Cartel
Die US-Staatsanwaltschaft gab bekannt, dass der 40-jährige belarussische Staatsangehörige wegen mehrerer Delikte verurteilt wurde: unter anderem wegen Verschwörung im Zusammenhang mit Straftaten gegen die Vereinigten Staaten, Verschwörung zur Begehung von Drahtbetrug sowie wegen erschwerter Identitätsdiebstahl.
Das Gericht stellte damit die zentrale Beteiligung an der Ransomware-Operation in den Mittelpunkt. Silnikau sei nicht nur beteiligt gewesen, sondern habe die Struktur der Kampagne mitgestaltet und in Teilen gesteuert, einschließlich der Rekrutierung weiterer Mitwirkender.
Wie Silnikau bei Ransom Cartel vorgegangen sein soll
Nach Angaben der Behörden war Silnikau seit mindestens 2005 in russischsprachigen Foren der Cyberkriminalität aktiv. Dort soll er auch unter mehreren Aliasnamen aufgetreten sein, darunter Bezeichnungen wie „J.P. Morgan“, „xxx“ und „lansky“.
Außerdem wird in den Unterlagen eine Mitgliedschaft bei einer Plattform namens Direct Connection beschrieben. Diese soll in den Jahren 2011 bis 2016 betrieben worden sein, bis sie nach der Festnahme des Administrators geschlossen wurde.
Für Ransom Cartel wird ausgeführt, dass Silnikau mit der Entwicklung im Mai 2021 begonnen und anschließend über einschlägige Foren weitere Cyberkriminelle angeworben haben soll. Ziel war es, an den Angriffen mitzuwirken und eine arbeitsteilige Erpressungsstruktur aufzubauen.
Werkzeuge, Zugangsdaten und eine Plattform zur Steuerung
Ein zentraler Punkt der Darstellung der Behörden: Silnikau habe den anderen Beteiligten Informationen und technische Komponenten geliefert. Dazu gehörten etwa gestohlene Zugangsdaten, die für kompromittierte Systeme verwendet werden konnten, sowie Software, die die Geräte der Opfer verschlüsseln sollte.
Darüber hinaus soll er eine eigene Affiliate-Website betrieben haben. Über diese Plattform hätten Mitglieder der Ransomware-Operation Angriffe verwalten, miteinander kommunizieren und Erpressungsforderungen aushandeln können. Nach einer Zahlung sollten außerdem Gewinnbeteiligungen verteilt werden.
Dieses Setup ist für Ermittler typisch für Ransomware-as-a-Service-Modelle: verschiedene Rollen arbeiten zusammen, während eine zentrale Instanz Tools, Prozesse und Koordination bereitstellt.
Betroffene Organisationen und gemeldete Schäden
Zwischen 2021 und 2023 sollen Affiliates von Ransom Cartel mindestens 18 Unternehmen weltweit angegriffen haben. In der Berichterstattung werden auch Standorte in den USA genannt, darunter Organisationen in Kalifornien, New York und Nebraska. Ebenso habe es Angriffe außerhalb der Vereinigten Staaten gegeben.
Während der Übergriffe seien laut Anklage unternehmensinterne Daten entwendet worden. Anschließend wurden Zahlungen gefordert – entweder im Austausch gegen Entschlüsselungsschlüssel oder unter der Drohung, die gestohlenen Informationen öffentlich zu machen.
Die US-Staatsanwaltschaft beziffert das Erpressungsziel auf mindestens 5,2 Millionen US-Dollar. Zusätzlich wurden mehr als 6,7 Millionen US-Dollar an Verlusten für die 18 bekannten Opfer identifiziert. Gleichzeitig betonten die Behörden, dass die tatsächliche Gesamtsumme vermutlich höher lag, weil nicht alle betroffenen Organisationen ihren Angriff gemeldet hatten.
Beispiele für Angriffe: Medizinische Technik und Kanzleinfrastruktur
Als Beispiel wird ein Vorfall aus dem August 2022 genannt: Ransom Cartel habe den Betrieb eines Startups für medizinische Technologie, das an robotikgestützter OP-Technik arbeitet, für etwa zwei Monate gestört.
Im Mai 2023 soll die Gruppe außerdem Infrastruktur angegriffen haben, die von einer Gruppe von Rechtskanzleien genutzt wurde. Die Folge seien Geschäftsunterbrechungen gewesen, die je nach Situation von einigen Tagen bis zu mehreren Monaten reichten.
In einem Fall habe eine Kanzlei nach nahezu einem Monat Störung ein Lösegeld von 125.000 US-Dollar gezahlt. Eine andere Kanzlei habe den Betrieb fast einen Monat lang ausgesetzt und später 300.000 US-Dollar Lösegeld entrichtet.
Die kombinierten Verluste, die diese Angriffe mit sich gebracht hätten, bezifferten die Staatsanwälte auf rund 2,2 Millionen US-Dollar.
Start, technische Einordnung und Verbindung zu anderen Erpressungsgruppen
Ransom Cartel soll laut den Angaben im Dezember 2021 öffentlich gestartet sein. Zudem wurde eine Ähnlichkeit der verwendeten Verschlüsselungs- und Codekomponenten mit dem REvil-Ransomware-Encryptor erwähnt.
Gleichzeitig sei Forschern aufgefallen, dass bestimmte Funktionen vorhanden waren bzw. fehlten, die bei REvil typischerweise mit Obfuskationsmechanismen verbunden sind. Daher gingen Experten davon aus, dass Ransom Cartel möglicherweise von einer Person entwickelt wurde, die nicht vollständig Zugriff auf den gesamten Quellcode der ursprünglichen Vorlage hatte.
Festnahme und Übergabe an die USA
Die Ermittlungen führten schließlich zu einer internationalen Verfolgung. Silnikau sei zunächst am 18. Juli 2023 in Spanien verhaftet worden, im Rahmen einer grenzüberschreitenden Strafverfolgungsoperation.
Nach den Angaben der Staatsanwaltschaft sei er jedoch geflohen, während er noch auf die Auslieferung in die Vereinigten Staaten wartete. Später habe man ihn festgenommen, als er versuchte, von Polen aus in sein Heimatland Belarus zurückzureisen.
Silnikau habe letztlich der Auslieferung zugestimmt. Danach sei er von Polen in die USA überstellt worden, um sich in der Eastern District of Virginia der Strafverfolgung zu stellen.
Warum der Fall für Unternehmen wichtig ist
Der Prozess gegen den mutmaßlichen Ransom-Cartel-Betreiber zeigt, wie stark Erpressungskampagnen heutzutage organisiert sind: von der technischen Ausstattung über die Rekrutierung bis zur Koordination von Forderungen und Zahlungsabwicklungen.
Für Sicherheitsverantwortliche ist dabei weniger die einzelne Person entscheidend als die Struktur dahinter. Wenn Täter Werkzeuge und Zugangsinformationen zentral bereitstellen und über eine Plattform Angriffe steuern, wird das Thema Nachweisbarkeit und frühe Erkennung besonders relevant.
Darum lohnt es sich, Sicherheitskontrollen nicht nur zu konfigurieren, sondern auch regelmäßig zu überprüfen: etwa durch Tests der Überwachungsregeln und durch das Prüfen, ob Anzeichen erfolgreicher Angriffe tatsächlich zuverlässig gemeldet werden.
Fazit
Der Fall Ransom Cartel endet mit einer klaren gerichtlichen Bewertung: Maksim Silnikau wurde zu 16 Jahren Haft verurteilt. Die Behörden schildern seine mutmaßliche Rolle als Entwickler und Administrator, einschließlich der Bereitstellung von Werkzeugen, der Rekrutierung von Mitwirkenden und der Organisation von Erpressungsabläufen gegen mindestens 18 Unternehmen.
Auch wenn die Strafzumessung ein einzelnes Kapitel schließt, bleibt die Botschaft für Unternehmen deutlich: Ransomware-Operationen arbeiten zunehmend in modularen Rollen, und effektiver Schutz erfordert eine konsequente Überprüfung von Erkennung und Reaktion.
