Ukrainian national pleads guilty to Conti ransomware involvement

•Oleksii Oleksiyovych Lytvynenko於2021年9月加入Conti勒索軟體團伙，承認持有來自12個受害者（8個美國境內，4個海外）的被盜數據，並負責編寫一種用於發動攻擊的惡意軟體「加載器」。
•Conti勒索軟體集團在全球範圍內攻擊了超過1,000個受害者，包括關鍵基礎設施，並勒索了超過1.5億美元的贖金。
•Conti集團於2022年5月解散，此前因公開支持俄羅斯入侵烏克蘭而導致內部數據洩露，並面臨日益增長的執法壓力；其成員隨後分散到其他勒索軟體組織。
•Lytvynenko於2023年7月在愛爾蘭被捕，並於2025年10月被引渡到美國，這凸顯了國際執法機構在打擊跨國網路犯罪方面的合作。
•Conti勒索軟體約於2019年12月首次出現，被認為是Ryuk勒索軟體的繼承者，並與TrickBot惡意軟體集團（又稱Wizard Spider）有密切聯繫。

勒索軟體即服務 (RaaS) 模式： Conti以RaaS模式運作，開發者將惡意軟體租賃給附屬成員，通常向這些成員支付固定工資而非按比例分成。
初始入侵途徑： 主要透過魚叉式網路釣魚活動（包含惡意附件或連結）、利用軟體漏洞（例如Microsoft Windows Server Message Block (SMB) 協議中的漏洞、Microsoft Exchange伺服器中的ProxyShell漏洞）、竊取的遠端桌面協議 (RDP) 憑證，以及使用TrickBot和BazarLoader等惡意軟體。
橫向移動與持久性： 禁用安全工具，利用Cobalt Strike和AnyDesk等合法工具進行遠端存取，使用Mimikatz竊取憑證，利用SMB共享進行傳播，並安裝後門程式以維持對受害者網路的控制。
數據外洩與雙重勒索： 在加密數據之前竊取敏感數據，將其外洩到外部伺服器（例如使用Rclone上傳到MegaNZ和pCloud等雲端服務），並威脅若不支付贖金就將數據公開在洩露網站上。
加密技術： 採用多執行緒AES-256加密，使其加密速度比許多其他勒索軟體更快。它還能終止特定進程並刪除磁碟區陰影複製，以確保文件能夠被順利加密。
目標： 主要針對全球的企業、醫療機構、教育機構、緊急服務部門和政府實體。

勒索軟體集團的國際執法合作將持續加強。

Oleksii Oleksiyovych Lytvynenko從愛爾蘭引渡到美國並被起訴，顯示了跨國執法機構在追捕勒索軟體犯罪分子方面的有效合作，預計未來此類合作將更加頻繁和深入。

勒索軟體組織將繼續採用分散式和重塑品牌策略以逃避偵測。

Conti在解散後，其成員分散到其他勒索軟體組織，表明犯罪集團會不斷演變其結構和品牌，以規避執法壓力並維持其運作。

2019-12

Conti勒索軟體首次被觀察到，由俄羅斯駭客組織「Wizard Spider」開發和使用。

2021-05

Conti對愛爾蘭衛生服務執行局發動攻擊，導致其IT系統關閉。

2021-09

Oleksii Oleksiyovych Lytvynenko加入Conti勒索軟體團伙，並參與開發惡意軟體加載器。

2022-02

Conti集團公開表示支持俄羅斯入侵烏克蘭，隨後導致內部聊天記錄和工具集洩露。

2022-05

Conti勒索軟體集團在攻擊哥斯大黎加政府後，其基礎設施下線並解散，成員分散到其他組織。

2023-07

Oleksii Oleksiyovych Lytvynenko在愛爾蘭被捕。

烏克蘭男子承認參與 Conti 勒索軟體行動