La rete di RedLine si disfa: presunto cervello del malware davanti alla giustizia USA

Era un martedì tranquillo nel tribunale federale di Austin, ma la posta in gioco non avrebbe potuto essere più alta. Hambardzum Minasyan, cittadino armeno accusato di essere un architetto chiave dietro il famigerato malware RedLine, sedeva davanti a un giudice statunitense - lontano chilometri dalle ombre digitali in cui, secondo l’accusa, prosperava. La sua estradizione e l’incriminazione rappresentano un momento sismico nella lotta globale contro il cybercrimine, mentre le autorità stringono il cerchio attorno alle organizzazioni che hanno sottratto miliardi di credenziali rubate a vittime ignare.

Fatti in breve

• Hambardzum Minasyan, cittadino armeno, estradato negli USA con accuse legate al malware RedLine
• Rischia fino a 30 anni di carcere per frode, reati informatici e riciclaggio di denaro
• Il malware RedLine è responsabile del furto di credenziali a vittime in oltre 150 Paesi dal 2020
• Il Dipartimento di Giustizia ha smantellato l’infrastruttura di RedLine in un’operazione multinazionale nell’ottobre 2024
• I dati rubati da RedLine hanno dominato per anni i mercati del dark web

Secondo i procuratori federali, Minasyan non era soltanto un programmatore - era un ingranaggio essenziale nella macchina RedLine. Gli atti giudiziari sostengono che abbia costruito e mantenuto la spina dorsale digitale del malware: registrando server, gestendo domini e creando repository che permettevano agli hacker di tutto il mondo di scatenare RedLine su dispositivi ignari. Ma il suo ruolo non si fermava alla tastiera; Minasyan e i suoi associati avrebbero offerto assistenza clienti ai cybercriminali, coordinato il furto di informazioni finanziarie e riciclato i proventi illeciti tramite exchange di criptovalute.

L’infostealer RedLine, comparso per la prima volta nel marzo 2020, è diventato rapidamente un elemento fisso nel kit degli informatici criminali. Il suo punto di forza? Semplicità ed efficacia. Gli hacker potevano acquistare l’accesso al malware su forum clandestini, distribuirlo tramite campagne di phishing o download malevoli e, quasi all’istante, raccogliere un bottino di dati preziosi - nomi utente, password, numeri di carte di credito, wallet crypto e credenziali VPN. Le informazioni rubate venivano poi vendute sui marketplace del dark web, alimentando ulteriori ondate di frodi e furti d’identità.

La portata di RedLine era impressionante: gli esperti stimano che sia stato usato in migliaia di attacchi in oltre 150 Paesi. L’infrastruttura del malware era resiliente, facendo affidamento su provider di bulletproof hosting - aziende disposte a chiudere un occhio mentre l’attività criminale prosperava sui loro server. A novembre, le autorità statunitensi hanno sanzionato uno di questi provider russi, stringendo ulteriormente la rete attorno agli operatori di RedLine.

L’arresto di Minasyan segue un’azione internazionale di smantellamento dell’infrastruttura di RedLine nell’ottobre 2024, coordinata da Stati Uniti, Paesi Bassi, Belgio e altri partner. La stessa operazione ha indicato Maxim Rudometov, cittadino russo, come un altro sviluppatore chiave tuttora latitante. Eppure, anche mentre le forze dell’ordine celebrano queste vittorie, la minaccia persiste: il codice di RedLine, i suoi affiliati e i dati rubati continuano a circolare nel sottobosco cybercriminale.

Il caso Minasyan è un duro promemoria del fatto che gli architetti del cybercrimine non sono intoccabili. Mentre le autorità rafforzano la presa sui sindacati globali del malware, il mondo digitale osserva - sperando che questo sia solo l’inizio di una resa dei conti tanto necessaria.

WIKICROOK

• Infostealer: Un infostealer è un malware progettato per rubare dati sensibili - come password, carte di credito o documenti - da computer infetti senza che l’utente se ne accorga.
• Server di Comando e Controllo: Un server di Comando e Controllo è un computer remoto che i cybercriminali usano per gestire il malware e ricevere i dati rubati dai dispositivi infetti.
• Bulletproof Hosting: Il bulletproof hosting è un servizio di web hosting che ignora le segnalazioni di abuso, consentendo ai criminali di ospitare contenuti illegali o malevoli con un basso rischio di rimozione.
• Frode tramite dispositivi di accesso: La frode tramite dispositivi di accesso è l’uso o il commercio illegale di dispositivi o credenziali, come carte di credito o dati di accesso, per commettere frodi o accessi non autorizzati.
• Campagna di phishing: Una campagna di phishing è un attacco su larga scala che usa messaggi falsi per indurre gli utenti a rivelare dati sensibili o a installare malware sui propri dispositivi.