ФБР задержало британского хакера в Испании за кражу 27 миллионов долларов в биткоинах

[INC.]

ФБР задержало британского хакера в Испании за кражу 27 миллионов долларов в биткоинах

22-летний британец был арестован в Пальма-де-Майорке в результате совместных усилий испанской полиции и ФБР по подозрению в том, что он является главарем хакерской группы, которая атаковала 45 компаний и людей в США.

Мужчина был арестован в аэропорту Пальмы, когда готовился к посадке на рейс в Италию.

Его обвиняют во взломе корпоративных счетов и краже важной информации, что, предположительно, позволило группе получить доступ к многомиллионным средствам. По данным полиции Пальмы, в какой-то момент он "контролировал" биткоины на сумму 27 миллионов долларов.

Впервые тревогу подняло ФБР в Лос-Анджелесе после того, как атаке подверглись несколько компаний. Они обратились к своим испанским коллегам за информацией о 22-летнем подозреваемом. Испанская полиция установила, что он въехал в Испанию через Барселону в конце мая, а дальнейшее расследование привело к тому, что он оказался на Майорке.

Судья в Лос-Анджелесе выдал ордер на его арест, который детективы полиции Пальмы исполнили, когда он готовился сесть на рейс в Италию. Расследование продолжается как в Испании, так и в Калифорнии. Полиция не установила личность 22-летнего преступника.

Во время ареста у него были изъяты ноутбук и мобильный телефон.

• Video: https://murciatoday.com/video-fbi-t...A 22-year-old British,board a flight to Italy

*****​

22-летний мужчина из Великобритании, арестованный на этой неделе в Испании, предположительно является главарем киберпреступной группы Scattered Spider, подозреваемой во взломе Twilio, LastPass, DoorDash, Mailchimp и еще почти 130 организаций за последние два года.

Испанская газета Murcia Today сообщает, что подозреваемый был объявлен в розыск ФБР и арестован в Пальма-де-Майорке, когда пытался сесть на рейс в Италию.

"Его обвиняют во взломе корпоративных счетов и краже важной информации, что якобы позволило группе получить доступ к многомиллионным средствам", - пишет Murcia Today. "По данным полиции Пальмы, в какой-то момент он контролировал биткоины на сумму 27 миллионов долларов".

Twitter/X-аккаунт vx-underground, посвященный киберпреступности, сообщил, что арестованный британец был подменщиком SIM-карт под псевдонимом "Tyler". При атаке с подменой SIM-swapper мошенники переносят номер телефона жертвы на контролируемое ими устройство и перехватывают все текстовые сообщения и телефонные звонки, отправленные жертве, включая одноразовые коды для аутентификации или ссылки на сброс пароля, отправленные по SMS.

"Он известен как подменщик SIM-swapper и предположительно связан с печально известной группировкой Scattered Spider", - написал vx-underground 15 июня, ссылаясь на банду, причастную к дорогостоящим атакам с целью выкупа данных в казино MGM и Caesars в Лас-Вегасе в прошлом году.

Источники, знакомые с ходом расследования, сообщили KrebsOnSecurity, что обвиняемым является 22-летний житель Данди, Шотландия, по имени Тайлер Бьюкенен (Tyler Buchanan), также предположительно известный под ником "tylerb" в чат-каналах Telegram, посвященных обмену SIM-swapping.

В январе 2024 года власти США арестовали еще одного предполагаемого члена Scattered Spider - 19-летнего Ноа Майкла Урбана (Noah Michael Urban) из Палм-Коста, штат Флорида, - и предъявили ему обвинение в краже не менее 800 000 долларов у пяти жертв в период с августа 2022 по март 2023 года. Урбан, предположительно, использовал прозвища "Sosa" и "King Bob" и, как полагают, входил в ту же команду, которая взломала Twilio и ряд других компаний в 2022 году.

Следователи говорят, что члены Scattered Spider являются частью более разрозненного сообщества киберпреступников в Интернете, известного как "The Com", где хакеры из разных кланов громко хвастаются громкими киберкражами, которые почти всегда начинаются с социальной инженерии - обмана людей по телефону, электронной почте или SMS с целью заставить их отдать учетные данные, которые позволяют получить удаленный доступ к внутренним сетям компаний.

Один из самых популярных каналов по обмену SIM-swapping в Telegram ведет часто обновляемую таблицу лидеров самых успешных обманщиков SIM-swappers, индексируемую по их предполагаемым успехам в краже криптовалюты. В настоящее время Sosa находится на 24-м месте (из 100), а Tylerb - на 65-м.

• Source: krebsonsecurity[.]com/2024/06/alleged-boss-of-scattered-spider-hacking-group-arrested/

 

[salfetka]

красава чел, на уровне ,терь понимаю на сколько мы все в целом ру хакинг бомжы обоссаные)

 

[Brandon]

На каком уровне?
Свапнуть сим-карту это и не хакинг вовсе, этим только школьники и занимаются,
а те кто хранят миллионы долларов в крипто кошельке на своем мобильном телефоне по меньшей мере недоумки..

 

[salfetka]

На каком уровне?
Свапнуть сим-карту это и не хакинг вовсе, этим только школьники и занимаются,
а те кто хранят миллионы долларов в крипто кошельке на своем мобильном телефоне по меньшей мере недоумки..

смысл в добычи, и заморочках, у нас это не делают, у нас все идет то что проще то и делают

 

[bratva]

На каком уровне?
Свапнуть сим-карту это и не хакинг вовсе, этим только школьники и занимаются,
а те кто хранят миллионы долларов в крипто кошельке на своем мобильном телефоне по меньшей мере недоумки..

Попробуй свапни Окту они делали красиво. Ластпасс - это вообще эпичный пример эталонного СИ. Родились бы в другой стране, были бы миллиардерами.

Scattered Spider - один из примеров, почему с англоязычными все таки стоит работать, но стоит также держать в голове, как быстро их ловят.

 

[zombie]

Попробуй свапни Окту они делали красиво. Ластпасс - это вообще эпичный пример эталонного СИ. Родились бы в другой стране, были бы миллиардерами.

Scattered Spider - один из примеров, почему с англоязычными все таки стоит работать, но стоит также держать в голове, как быстро их ловят.

sillyboys2

You can view and join @sillyboys2 right away.

t.me

HZ / Horror

The FBI already know about public known members like Zak, Remain, Tyler B etc but there's unknown members that even the NFT DUOS cannot even name at the moment. The FBI claims to know about at least 12 known Scattered Spider members.

t.me

=))

 

[chinacash]

Попробуй свапни Окту они делали красиво. Ластпасс - это вообще эпичный пример эталонного СИ. Родились бы в другой стране, были бы миллиардерами.

Scattered Spider - один из примеров, почему с англоязычными все таки стоит работать, но стоит также держать в голове, как быстро их ловят.

А есть где почитать про Ластпасс? Может быть описание хронологии событий и тд.
Был бы признателен.

 

[bratva]

А есть где почитать про Ластпасс? Может быть описание хронологии событий и тд.
Был бы признателен.

How the cyberattack at LastPass unfolded​

• Aug. 8, 2022
  A threat actor compromised a LastPass software engineer’s corporate laptop to gain access to a cloud-based development environment. The adversary stole source code, proprietary technical documentation and some of the company’s internal system secrets.
  
  The threat actor used technical documentation and source code to exfiltrate 14 of approximately 200 source-code repositories related to components of the LastPass service.
  
  The source-code repositories included cleartext embedded credentials, stored digital certificates for the company’s development infrastructure and encrypted credentials used for production.
• Aug. 12, 2022
  The LastPass security team was alerted to the malicious activity. The company refers to this as the “first incident,” which was immediately followed by a “second incident” the company says began Aug. 12.
  
  In the follow-on compromise, the threat actor used information exfiltrated from the initial breach to initiate a more widespread and damaging attack.
• Aug. 13, 2022
  LastPass engaged with incident response firm Mandiant.
• Aug. 14, 2022
  The threat actor copied a backup of LastPass’ customer database containing unencrypted account information, related metadata and application configuration options such as multifactor authentication.
• Aug. 25, 2022
  Toubba said the breach was contained and LastPass saw no further evidence of unauthorized activity.
  
  LastPass made a distinction between its production and development infrastructure at this stage, and said the unauthorized access occurred in its development environment, which is physically and logically separated and doesn’t hold personal data.
• Sept. 8, 2022
  The threat actor started to copy five binary large objects database shards. The backups were dated: Aug. 20, Aug. 30, Aug. 31, Sept. 8 and Sept. 16. The exfiltration of database backups occurred between Sept. 8 and Sept. 22.
• Sept. 15, 2022
  LastPass completed its investigation into the first incident with assistance from Mandiant.
  
  The company said the threat actor was inside its development system for four days and it contained the breach.
  
  “There is no evidence of any threat actor activity beyond the established timeline,” Toubba said in the updated blog post. “We can also confirm that there is no evidence that this incident involved any access to customer data or encrypted password vaults.”
  
  Third-party VPN services allowed the threat actor to obscure their location, impersonate the software engineer and access and maintain a dedicated connection to the cloud-based development environment via corporate VPN.
  
  LastPass describes this as a “tailgate” approach that relied on the software engineer’s successful authentication with domain credentials and MFA.
  
  “No privilege escalation was identified or required,” the company said in its incident report.
  
  The threat actor also performed anti-forensic activity, and an operating system upgrade on the software engineer’s corporate laptop scheduled during the four-day period overwrote logs and system artifacts.
  
  The initial threat vector that the adversary used to gain access to the software engineer’s machine remains unknown, according to LastPass.
• Oct. 26, 2022
  The threat actor, still active in LastPass systems, “engaged in a new series of reconnaissance, enumeration and exfiltration activities” involving the company’s AWS S3 storage buckets, a subsequent investigation found.
  
  The threat actor operated undetected by LastPass for almost three months as part of the second incident, which LastPass said spanned from Aug. 12 to Oct. 26.
  
  “We cannot confirm with certainty that it was one or more threat actors,” a LastPass spokesperson told Cybersecurity Dive.
  
  “There were no further exfiltration activities after Sept. 22, 2022. Since Oct. 26, 2022, we have not seen any threat actor activity.”
• Nov. 30, 2022
  The password manager, for the first time, acknowledged customer data was compromised as a result of the cyberattack.
  
  “We have determined that an unauthorized party, using information obtained in the August 2022 incident, was able to gain access to certain elements of our customers’ information,” Toubba said in an updated blog post.
  
  LastPass did not say when it discovered the subsequent breach. The company notified law enforcement and reengaged with Mandiant to determine the scope of compromise and identify what information was exposed.
• Dec. 22, 2022
  LastPass said customer data was significantly compromised after the threat actor copied a cloud-based backup of customer vault data.
  
  The trove of stolen data included encrypted passwords, usernames and form-filled data. The customer data vault also contained unencrypted data, such as the website URLs customers access via the password manager, company names, billing addresses, email addresses, phone numbers and the IP addresses customers use to access the platform.
  
  LastPass warned customers to be on the lookout for brute force, phishing and credential stuffing attacks.
  
  Most of the highly sensitive customer account data held by the password manager, with the exception of users’ master passwords, are now compromised.
  
  “This is about as bad as it gets,” Chester Wisniewski, field CTO of applied research at Sophos, said via email at the time.
• Jan. 23, 2023
  GoTo, the parent company of LastPass, revealed a threat actor exfiltrated encrypted backups and an encryption key from the same storage vault it shares with LastPass.
• Feb. 27, 2023
  LastPass, more than six months after the initial incident, linked the threat actor from the August breach to the long- lasting subsequent attack.
  
  The adversary used information stolen in the initial breach, information from a third-party breach and a remote code execution vulnerability on a DevOps engineer’s home computer to gain access to multiple LastPass resources and backups, the company said in an advisory on its support site.
  
  “The threat actor targeted one of the four DevOps engineers who had access to the decryption keys needed to access the cloud storage service,” LastPass said. “The threat actor was able to capture the employee’s master password as it was entered, after the employee authenticated with MFA, and gain access to the DevOps engineer’s LastPass corporate vault.”
  
  The threat actor exploited a vulnerable third-party media software package to implant keylogger malware on the engineer’s device.
  
  The intrusion allowed the threat actor to exfiltrate corporate vault entries and shared folders, which contained encrypted notes with access and decryption keys needed to access the company’s AWS production backups, resources and some critical database backups, the company said.
  
  The observed tactics, techniques and procedures, as well as the indicators of compromise, were not consistent between the first and second incident, the company said. “While proximal in terms of timeline, it was not initially obvious that the two incidents were directly related.”
  
  Because the threat actor used valid credentials stolen from a senior DevOps engineer, investigators were unable to “differentiate between threat actor activity and ongoing legitimate activity,” the company said.
  
  AWS GuardDuty Alerts ultimately informed LastPass of anomalous behavior it detected when the threat actor attempted to use Cloud Identity and Access Management roles to perform unauthorized activity, according to the company’s update.
  
  The monthslong campaign resulted in widespread theft of customers’ data.
  
  LastPass listed multiple actions it’s taken in response to the incident as part of its ongoing containment, eradication and recovery efforts. The company also posted a security bulletin that encourages business administrators to take additional measures to further protection.
• March 1, 2023
  Toubba released his fifth and most detailed blog post to date related to the cyberattack. After six months of confusion and turmoil, Toubba acknowledged customers’ frustration and pledged greater communication and transparency.
  
  “I accept the criticism and take full responsibility,” he said.
  
  Toubba blamed the long but now complete investigation for the company’s “inability to communicate more immediately, more clearly and more comprehensively throughout this event.”
  
  During the attack, the threat actor accessed DevOps secrets, cloud-based backup storage and a backup of LastPass’ MFA database.
  
  “End-user master passwords are never known to LastPass and are not stored or maintained by LastPass – therefore, they were not included in the exfiltrated data,” Toubba said.
  
  The AWS storage backup contained configuration data, API secrets, third-party integration secrets, customer metadata, and backups of all customer vault data.
  
  The MFA database included copies of customers’ LastPass authenticator seeds, phone numbers used for MFA backup and a split knowledge component, or K2 keys, used by business customers.
  
  The MFA database was encrypted, but the threat actor stole the separately-stored decryption key during the attack.
  
  “The identity of the threat actor and their motivation remains unknown,” Toubba said. “There has been no contact or demands made, and there has been no detected credible underground activity indicating that the threat actor is actively engaged in marketing or selling any information obtained during either incident.”

Источник: https://www.cybersecuritydive.com/news/lastpass-cyberattack-timeline/643958/

 

[TROUBLE]

Попробуй свапни Окту они делали красиво. Ластпасс - это вообще эпичный пример эталонного СИ. Родились бы в другой стране, были бы миллиардерами.

Scattered Spider - один из примеров, почему с англоязычными все таки стоит работать, но стоит также держать в голове, как быстро их ловят.

Когда они умные и нормальные англоязычные, проблем нет, можно и работать. А вот когда это ломанный инглишь и он недоговаривает условия\договорённости - то это одни проблемы.

 

[suffergrime]

На каком уровне?
Свапнуть сим-карту это и не хакинг вовсе, этим только школьники и занимаются,
а те кто хранят миллионы долларов в крипто кошельке на своем мобильном телефоне по меньшей мере недоумки..

ну ка расскажи ка нам как свапать?

 

[chinacash]

Меня другое интересует, как они узнавали нужные номера?
Про свап симки в ЕС все предельно просто.

 

[johnsherlock]

ну ка расскажи ка нам как свапать?

Osint > email > phone > name
osing > phone > email > name
physical person goes to phone provider and demands same phone number on new sim
put sim in phone

 

[ilovetwin]

Osint > email > phone > name
osing > phone > email > name
physical person goes to phone provider and demands same phone number on new sim
put sim in phone

Most / all carriers require id if going in person and they have been boosting security against sim swapping at least metro/t-mobile harder to pull a swap off

 

[chinacash]

Most / all carriers require id if going in person and they have been boosting security against sim swapping at least metro/t-mobile harder to pull a swap off

Все зависит от качества документов и самого дропа.

 

[Rehub]

Министерство юстиции США предъявило официальные обвинения пяти киберпреступникам, промышлявших фишинговыми атаками. Ими оказались американцы Ахмед Эльбадави, Ноа Урбан, Эванс Осиебо и Джоэл Эванс, а также британец Тайлер Бьюкенен (Tyler Robert Buchanan). Всем им — от 20 до 25 лет, а свою деятельность они начали не позднее сентября 2021 года.

«Эта группа киберпреступников реализовала сложную схему кражи интеллектуальной собственности и конфиденциальной информации стоимостью в десятки миллионов долларов, а также персональных данных сотен тысяч людей, — заявил прокурор США Мартин Эстрада. — Этот случай наглядно демонстрирует, что фишинг и хакерство становятся все более изощренными и могут привести к огромным потерям».

Сами атаки проходили по одной схеме. Сначала преступники рассылали смс на устройства сотрудников конкретных компаний от лица различных департаментов этих организаций или их партнеров. В них сообщалось, что учетные записи работников будут деактивированы, а потому им нужно пройти по ссылкам на корпоративные порталы, авторизоваться и отменить удаление. Таким образом фишеры перехватывали контроль над этими аккаунтами.

Затем они входили в системы компаний и крали из них все, что плохо лежит: конфиденциальные данные, сведения о разработках, персональные идентификационные номера, имена, адреса электронной почты и номера телефонов. Используя эти наборы в комбинации со слитыми базами и утечками, преступники получали несанкционированный доступ к криптовалютным счетам и кошелькам отдельных людей, с которых выводили миллионы долларов.

«Обвиняемые наживались на ничего не подозревающих жертвах этой фишинговой схемы и использовали их личную информацию для кражи миллионов с их криптовалютных счетов», — заключил помощник директора ФБР Акил Дэвис.

justice[.]gov/usao-cdca/pr/5-defendants-charged-federally-running-scheme-targeted-victim-companies-phishing-text

 

[Cobalt_bomb]

Tyler Buchanan по кличке "tylerb" )) королем OPSEC парнишку конечно не назовешь ))

 

[kosok11]

Tyler Buchanan пот кличке "tylerb" )) королем OPSEC парнишку конечно не назовешь ))

Ну не tBuchanan и на том спасибо ))))

 

[Rehub]

Как хакер Scattered Spider угодил в руки ФБР.

История от фишинга к федеральному делу.

23-летний шотландец Тайлер Роберт Бьюкенен, подозреваемый в участии в хакерской группировке Scattered Spider, был экстрадирован из Испании в США, где ему предъявлены обвинения в мошенничестве, краже личных данных и заговоре с целью получения доступа к информации. Задержание произошло в июне 2024 года в аэропорту Пальма-де-Майорки, когда он собирался вылететь в Италию. Его передача американской стороне состоялась в апреле 2025 года, о чём первой сообщила Bloomberg.

По версии следствия, Бьюкенен, известный под ником «tylerb», вместе с сообщниками участвовал в крупной серии атак методом SMS-фишинга и SIM-swapping. Эти атаки были направлены на сотрудников десятков компаний, в том числе Twilio, LastPass, DoorDash и Mailchimp. Хакеры создавали поддельные сайты, имитирующие интерфейс системы аутентификации Okta, и выманивали логины и пароли. Данные использовались для получения доступа к корпоративным системам. Такая схема получила кодовое название 0ktapus .

Расследование ФБР установило, что в кампании использовались домены, зарегистрированные через NameCheap, менее чем за месяц до начала атак. Учётная запись, с которой велась регистрация, заходила в сеть с IP-адреса, арендованного Бьюкененом в Шотландии с 26 января по 7 ноября 2022 года. Эти домены оформлялись на тот же адрес электронной почты и имя пользователя, что связываются с фигурантом дела.

При обыске по месту жительства Бьюкенена были изъяты 20 цифровых устройств. На одном из них обнаружили данные для входа в системы трёх компаний — жертв фишинга. Также на устройстве был найден скриншот переписки в Telegram, в которой обсуждалось деление украденных средств, полученных в результате SIM-swapping-атак. Этот метод позволял хакерам перехватывать одноразовые коды, отправляемые на телефон, после перевода номера жертвы на новую SIM-карту.

Следователи также связали подозреваемого с активностью на Discord. С того же британского IP-адреса управлялся Discord-аккаунт, в котором фигурировал криптовалютный кошелёк. По открытым данным блокчейна, через этот кошелёк прошло около 391 биткойна — на сумму более 26 миллионов долларов на момент проведения расследования.

Интерес к фигуранту возник не только у правоохранителей. В феврале 2023 года конкурирующая преступная группа направила к нему домой людей, которые ворвались в квартиру и угрожали обжечь самого Бьюкенена паяльной лампой, требуя доступ к его криптовалютному кошельку. После этого он покинул Великобританию и попытался скрыться в Европе.

В ноябре 2024 года окружная прокуратура Лос-Анджелеса предъявила обвинения ещё четырём предполагаемым участникам Scattered Spider. В списке значатся Ахмед Эльбадави (23 года, Колледж-Стейшн, Техас), Джоэл Эванс (25 лет, Джэксонвилл, Северная Каролина), Эванс Осиэбо (20 лет, Даллас) и Ноа Урбан (20 лет, Палм-Кост, Флорида). Отдельно сообщалось об аресте 17-летнего подростка из Великобритании в связи со взломом казино MGM в Лас-Вегасе, также приписываемым группировке, однако имя Бьюкенена в том эпизоде не фигурирует.

Согласно материалам Федерального суда Центрального округа Калифорнии, обвиняемый находится под арестом без права внесения залога. Ему инкриминируются сговор с целью совершения мошенничества, получение информации с использованием компьютеров в целях личной финансовой выгоды и кража личных данных при отягчающих обстоятельствах. Последний пункт предусматривает обязательное наказание в виде не менее двух лет лишения свободы. Предварительное судебное заседание назначено на 6 мая.

krebsonsecurity[.]com/2025/04/alleged-scattered-spider-member-extradited-to-u-s
bloomberg.com/news/articles/2025-04-24/scattered-spider-hacking-suspect-extradited-to-us-from-spain