L’hacker sfuggente che operava con lo pseudonimo UNKN (o UNKNOWN), a lungo considerato il cervello dietro i gruppi ransomware russi GandCrab e REvil, ha ora un nome e un volto. La Bundeskriminalamt tedesca, la polizia federale, lo ha identificato come Daniil Maksimovich Shchukin, 31 anni, cittadino russo.
Secondo l’advisory pubblicato dalla BKA, Shchukin avrebbe guidato due dei più grandi programmi ransomware degli ultimi anni e partecipato ad almeno 130 atti di sabotaggio informatico ed estorsione in Germania tra il 2019 e il 2021, insieme a un complice russo di 43 anni, Anatoly Sergeevitsch Kravchuk.
I numeri dell’operazione
Solo nelle due dozzine di attacchi analizzati dalla BKA, Shchukin e Kravchuk avrebbero estorto alle vittime tedesche quasi 2 milioni di euro in riscatti, causando un danno economico totale superiore a 35 milioni di euro. A queste cifre vanno aggiunte le attività globali di REvil e GandCrab, che hanno colpito ospedali, scuole, studi legali, aziende manifatturiere e fornitori di servizi in decine di paesi.
Il nome di Shchukin era già comparso in un procedimento del Dipartimento di Giustizia statunitense del febbraio 2023, relativo al sequestro di portafogli di criptovalute associati alle attività di REvil. Uno dei wallet riconducibili a lui conteneva oltre 317.000 dollari in criptovalute di provenienza illecita.
GandCrab e REvil: inventori della doppia estorsione
Il programma di affiliazione GandCrab è apparso nel gennaio 2018 e ha rivoluzionato il modello ransomware: grosse quote di profitto distribuite agli “affiliate” che riuscivano a ottenere accesso iniziale in aziende target, software aggiornato con release regolari per aggirare le difese, supporto tecnico dedicato. A maggio 2019, il gruppo annunciava la chiusura dopo aver incassato, secondo le proprie dichiarazioni, oltre 2 miliardi di dollari in riscatti.
REvil (noto anche come Sodinokibi) è comparso pochi mesi dopo, fondato dallo stesso UNKNOWN che, per dimostrare la propria “serietà” criminale, depositò un milione di dollari a garanzia su un noto forum russo di cybercrime. Molti analisti conclusero all’epoca che REvil fosse essenzialmente una riorganizzazione di GandCrab con un branding diverso.
I due gruppi hanno sistematizzato il modello della doppia estorsione, oggi standard nel ransomware mondiale: il riscatto viene chiesto una prima volta per la chiave di decrittazione dei file cifrati, e una seconda volta per evitare la pubblicazione dei dati rubati prima della cifratura. Una leva doppia che rende pressoché impossibile per la vittima limitare il danno solo con i backup.
Perché il “doxxing” statale conta
L’identificazione pubblica di Shchukin è rilevante anche se Russia e Germania non hanno un trattato di estradizione operativo: serve a limitare i movimenti internazionali degli operatori, a congelare gli asset nelle giurisdizioni cooperative, e a creare un precedente reputazionale nel mondo cyber. La lista dei ransomware operator “doxxati” dalle autorità occidentali negli ultimi due anni – da LockBit a Conti a REvil – mostra che l’anonimato degli attori cybercriminali di alto livello non è più garantito come in passato.
Cosa significa per l’Italia
REvil ha colpito anche vittime italiane – tra le più note l’attacco a Campari nel novembre 2020 e l’attacco alla società statunitense Acer che ha avuto ricadute sulla filiale italiana. Il tracciamento di Shchukin è un segnale per chi in Italia, soprattutto nel settore manifatturiero e farmaceutico, continua a essere target di gruppi ransomware “figli” dell’ecosistema GandCrab/REvil: Conti, BlackCat/ALPHV, LockBit discendono tutti da quella scuola. L’identificazione dei “padri” non risolve il problema ma ne racconta la lunga catena di continuità.