Ingeniero condenado por bloquear más de 3.000 dispositivos en la red de su empresa.

Un exingeniero de infraestructura de una empresa industrial con sede en Nueva Jersey fue sentenciado a 32 meses de prisión por bloquear miles de dispositivos en la red de su empleador mediante un ataque de ransomware.

Daniel Rhyne, de 57 años y residente de Kansas City, Missouri, se declaró culpable de su participación en un intento fallido de extorsión contra la empresa de Nueva Jersey donde trabajaba, tras ser arrestado en agosto de 2024 y puesto en libertad después de su comparecencia inicial ante un tribunal federal.

Según los documentos judiciales, accedió remotamente a la red de la empresa sin autorización utilizando una cuenta de administrador entre el 8 y el 25 de noviembre y programó tareas en el controlador de dominio que cambiaron la contraseña de la cuenta de administrador a "TheFr0zenCrew!", eliminaron 13 cuentas de administrador de dominio y cambiaron las contraseñas de 301 cuentas de usuario de dominio a "TheFr0zenCrew!".

Rhyne también añadió tareas programadas que cambiaron la contraseña de dos cuentas de administrador local a "PsPasswd" (bloqueando el acceso a 254 servidores), cambiaron la contraseña de otras dos cuentas de administrador (bloqueando el acceso a 3284 estaciones de trabajo adicionales) y apagaron servidores y estaciones de trabajo aleatorios en la red de la empresa durante varios días de diciembre de 2023.

El 25 de noviembre, Rhyne envió a sus compañeros de trabajo un correo electrónico de rescate titulado "Su red ha sido comprometida", en el que afirmaba que también se habían eliminado las copias de seguridad de los servidores para imposibilitar la recuperación de datos y amenazaba con apagar 40 servidores aleatorios diariamente durante los siguientes diez días a menos que la empresa pagara un rescate de 20 bitcoins (aproximadamente 750 000 dólares en ese momento).

"El 25 de noviembre de 2023, aproximadamente a las 16:00 (hora del este de EE. UU.), los administradores de red de la Víctima-1 comenzaron a recibir notificaciones de restablecimiento de contraseña para una cuenta de administrador de dominio de la Víctima-1, así como para cientos de cuentas de usuario de la Víctima-1", reza la denuncia penal.

"Poco después, los administradores de red de la Víctima-1 descubrieron que todas las demás cuentas de administrador de dominio de la Víctima-1 habían sido eliminadas, lo que les impedía acceder a las redes informáticas de la Víctima-1".

Los investigadores descubrieron que el 22 de noviembre, mientras planeaba su extorsión, Rhyne utilizó su cuenta en una máquina virtual oculta para buscar en internet información sobre cómo cambiar las contraseñas de los usuarios del dominio, eliminar cuentas de dominio y borrar los registros de Windows.