Украинский гражданин Артём Стрижак экстрадирован в США по делу о шифровальщике Nefilim

[stihl]

Артём Стрижак, 35-летний гражданин Украины, подозреваемый в участии в глобальной схеме программ-вымогателей Nefilim, был задержан в Испании в июне 2024 года и 30 апреля 2025 года экстрадирован в США для судебного разбирательства. По данным Минюста США, Стрижак обвиняется в сговоре с целью мошенничества и вымогательства с использованием компьютерных технологий. Он присоединился к банде, связанной с Nefilim, в середине 2021 года и получал 20–25% от суммы каждого выплаченного выкупа. Американские следователи указывают, что целью злоумышленников были преимущественно крупные компании с годовым оборотом свыше 100–200 миллионов долларов.

Как действует шифровальщик Nefilim и модель RaaS​

Nefilim – типичное «программное обеспечение как услуга» (RaaS) для хакеров: администраторы вредоноса предоставляют код аффилиатам, а те получают долю от успеха. После присоединения к Nefilim Стрижак получил доступ к так называемой панели управления этого зловреда и вёл кампании от имени банды. В своей работе преступники использовали двухэтапную атаку: сначала проникали во внутренние сети компаний, похищали конфиденциальные данные, затем шифровали файлы на компьютерах жертв (алгоритмом AES-128 с добавлением расширения «.NEFILIM» к зашифрованным файлам). В каждой заражённой системе появлялся файл NEFILIM-DECRYPT.txt с требованием выкупа и предупреждением: если в течение семи дней не начать переговоры, все украденные данные будут опубликованы в открытом доступе. Таким образом, банда фактически использовала модель двойного вымогательства: шифрование и угрозу слива информации.

Эксперты отмечают, что Nefilim появился весной 2020 года как эволюция предыдущего шифровальщика Nemty. С течением времени группировка под этим именем (а позже под другими псевдонимами – Fusion, Milihpen, Gangbang, Nemty, Karma) поразила десятки компаний по всему миру. По данным мониторинговых систем, только в 2023–2024 годах Nefilim стал причиной атак по крайней мере на 43 организации.

Жертвы атак и последствия для компаний​

Целями Nefilim становились международные корпорации из разных отраслей. Среди известных жертв – австралийская логистическая компания Toll Group, французский телеком-оператор Orange и американский производитель бытовой техники Whirlpool. В США и Европе пострадали предприятия инженерной, авиационной, химической, страховой, строительной индустрий и другие. Атаки приводят к серьёзным потерям: компании несут многомиллионные убытки не только из-за выплат выкупа, но и из-за простоя систем, восстановления данных и репутационных потерь.

• Toll Group – крупный перевозчик, удар по логистике.
• Orange S.A. – один из ведущих телеком-операторов Европы.
• Whirlpool – гигант по производству бытовой техники.

Каждая из атак сопровождалась требованиями выкупа в биткоинах и угрозами обнародовать корпоративные секреты. Например, в случае Whirlpool была опубликована часть похищенных файлов, что подтвердило успешность кампании злоумышленников.

Задержание и экстрадиция Артёма Стрижак​

Испанская полиция арестовала Стрижакa в июне 2024 года по запросу американских властей. После долгих процедур 30 апреля 2025 года он был экстрадирован в США. В федеральном суде Бруклина Стрижаку предъявлены обвинения в сговоре с целью мошенничества и вымогательства с использованием компьютерных технологий Арест и экстрадиция стали результатом международного взаимодействия правоохранительных органов: У.S. Attorney Джон Дурхэм поблагодарил ФБР и испанские власти за «решающий вклад» в поимку злоумышленника.

Обвинения и потенциальное наказание​

Стрижаку вменяются нападения на крупные компании с последующим шифрованием данных и вымогательством выкупа. Уголовное дело строится на версии, что он вступил в группировку Nefilim в июне 2021 года, предоставил банде свои технические навыки и ресурсы в обмен на долю от выкупа. В случае признания вины ему грозит до 5 лет лишения свободы. Важно отметить, что предъявленные обвинения ещё не доказаны в суде, и Стрижак считается невиновным, пока не будет приговорён.

Комментарии правоохранителей и экспертов​

Представители ФБР и Минюста США отметили, что дело Стрижакa подчёркивает международный характер борьбы с киберпреступностью. «Преступники, осуществляющие эти злонамеренные кибератаки, часто действуют из-за рубежа в надежде, что американская юстиция не достанет их», – заявил прокурор Джон Дурхэм. – «Экстрадиция обвиняемого и предъявленные обвинения доказывают, что они ошибаются». Сотрудник ФБР Кристофер Джонсон подчеркнул: успешная экстрадиция Стрижакa – «значительное достижение», которое посылает «чёткое сообщение»: прятаться за границей и нападать на американские компании уже нельзя.


Эксперты по безопасности, в свою очередь, напоминают о других громких атаках Nefilim последних лет и необходимости постоянно совершенствовать защиту. Они отмечают, что современные шифровальщики активно меняют названия и тактику, но принципы их работы схожи: взлом, вымогательство, угроза публичного раскрытия. Случай Стрижакa лишь подтвердил распространённость RaaS-моделей, в которых роль «креативщиков» отделена от исполнителей, а прибыль делится внутри преступного сообщества.

cybernews.com/cybercrime/ukrainian-hacker-arrested-nefilim-ransomware

 

[stihl]

В бруклинской, а точнее прокуратуре Восточного округа штата Нью-Йорк, 1 мая сообщили о предъявлении обвинений украинцу Артему Александровиче Стрижаку, которого арестовали в июне прошлого года в Испании и 30 апреля доставили из Барселоны в Нью-Йорк, где временно поселили в бруклинской федеральной тюрьме MDC под номером 00113-506.

С обвинением в мошенничестве и других связанных с компьютером преступлениях, включая вымогательство, его ознакомил судья-магистрат Роберт Леви. 35-летнему Стрижаку по сетевому прозвищу «Нефелим» грозит до 5 лет лишения свободы, но до решения суда он считается невиновным, хотя и сидит за решеткой в чужой стране. Как сообщил в пресс-релизе бруклинский федеральный прокурор Джон Дарэм, Стрижак «предположительно участвовал в международной схеме вымогательства путем сетевого нападения на высокодоходные компании США, кражи данных и удерживания этих данных заложниками в обмен на плату. Если компании не платили, преступники сливали данные в сеть. Злоумышленники, которые совершают такие вредоносные кибератаки, часто делают это из-за границы, полагая, что американское правосудие не сможет добраться до них. Экстрадиция и обвинения подсудимого доказывают, что они неправы».

Как положено в таких случаях, следом за федеральным прокурором высказался Кристофер Джонсон, начальник отделения ФБР в Иллинойсе, где предположительно киберпреступничал Стрижак. «ФБР давно осознало, - заявил Джонсон, - что борьба с международными схемами вымогательства требует прочных партнерских отношений. Успешная экстрадиция обвиняемого стала значительным достижением этого продолжающегося сотрудничества и четким сигналом, что те, кто попытается спрятаться за международными границами, чтобы атаковать американских граждан, предстанут перед судом».

Из предъявленного Атему Стрижаку обвинения, которое ждало его почти год, добрые две трети 23 страниц которого закрашены черной тушью, следует, что программа-вымогатель Nefilim была развернута для шифрования компьютерных сетей в странах по всему миру, в том числе в Восточном округе Нью-Йорка. Эти атаки привели к убыткам в миллионы долларов как выплатами вымогателям, так и от ущерба компаниям-жертвам. Преступники Nefilim обычно настраивали свою программ на файл жертвы и блокировали его, создавая персональный код дешифрования и посылая требование выкупа. Если им платили, они присылали код разблокирования, и все шло в кибер-ёлочку будучи просто, как кибер-грабли. В июне 2021 года администраторы программы Nefilim предоставили Артёму Стрижаку доступ к коду этой программе в обмен на 20 процентов от его доходов от выкупов. Стрижак управлял программой-вымогателем через свою учетную запись на онлайн-платформе Nefilim, известной как «панель». Впервые получив доступ к панели, Стрижак спросил сообщника, следует ли ему выбрать другое имя пользователя, нежели то, которое он использовал в других преступных действиях, на случай, если панель «будет взломана федералами».

Предпочтительными целями программ-вымогателей Nefilim были компании в Соединенных Штатах, Канаде или Австралии. Стрижак и другие кибермошенники получали несанкционированный доступ к файлам этих компаний частично через сетевые данные об их стоимости, размере и контактной информации. В одном из перехваченных ФБР разговоров со Стрижаком примерно в июле 2021 года администратор Nefilim посоветовал ему нацелиться на компании в этих странах с годовым доходом больше 200 млн долларов. Выбрав жертву, Стрижак блокировал ее файл, назначал цену за разблокирование, и грозил в случае отказа, поставить этот файл на общедоступном сайте «Corporate Leaks». Среди жертв Артема Алекcандровича без названий указаны две компании на территории Восточного округа штата Нью-Йорк, одна в Восточном округе Миссури, одна в Южном округе Огайо, одна в Центральном округе Иллинойса, одна в Западном округе Техаса и одна просто «нефтегазовая компания». Как теперь бывает всё чаще, «отсюда туда» депортация, а «оттуда сюда» экстрадиция.