Fire års fengsel for en av utviklerne i Conti

En 44 år gammel ukrainer ble 10. september 2026 dømt til fire års fengsel i USA for rollen sin i løsepengeviruset Conti. Oleksii Oleksiyovych Lytvynenko, som har bodd i Cork i Irland, er dømt for sammensvergelse om bedrageri. Det amerikanske justisdepartementet opplyser at han både brøt seg inn i nett og utviklet skadevare, at han personlig skadet minst tolv virksomheter, og at han ble satt til å kode en såkalt loader, skadevare som til vanlig har som oppgave å hente inn og starte neste trinn i angrepet. Etterforskerne fant data stjålet fra åtte amerikanske og fire utenlandske ofre i nettkontoene hans. Han erkjente straffskyld 10. juni 2026.

Conti ble brukt mellom 2020 og 2022 mot datamaskiner og nett i 47 amerikanske delstater, 31 andre land, Washington D.C. og Puerto Rico, og rammet over 1 000 ofre. FBI anslår at utbetalingene fra ofrene hadde passert 150 millioner dollar i januar 2022, og at Conti i 2021 ble brukt mot flere mål i kritisk infrastruktur enn noe annet løsepengevirus. Ifølge tiltalen presset Lytvynenko og medsammensvorne to ofre i Tennessee for over 500 000 dollar i kryptovaluta, og publiserte data stjålet fra et tredje offer. Justisdepartementet opplyser også at han holdt fram med løsepengevirksomhet etter at Conti var lagt ned, helt til han ble pågrepet i Cork i juli 2023. Utleveringen til USA ble ferdigbehandlet i oktober 2025.

Det felles varselet om Conti fra CISA, FBI, NSA og Secret Service, sist oppdatert 9. mars 2022, beskriver blant annet disse veiene inn: målrettet phishing der vedlegget hentet inn TrickBot eller IcedID, stjålne eller svake RDP-pålogginger, og kjente sårbarheter i utstyr som er eksponert mot internett. Varselet viser til en lekket veiledning fra aktørene selv, der PrintNightmare (CVE-2021-34527) og Zerologon (CVE-2020-1472) står oppført som hull de utnyttet for å skaffe seg høyere rettigheter og bevege seg videre i nettet etter at de var kommet inn. Dataene ble ofte hentet ut med det åpne verktøyet Rclone, og deretter krypterte gruppen filene og truet med å offentliggjøre det stjålne dersom offeret ikke betalte.

Hva det betyr for deg som har ansvar for beredskapen

En dom avslutter en sak, ikke en risiko. Conti forsvant som merkenavn i 2022, men justisdepartementet sier at denne mannen fortsatte med løsepengevirksomhet helt til politiet sto i døren i Irland året etter. Slik ser det oftest ut: navnet byttes, folkene blir. Er beredskapen din bygget rundt gruppenavn, går den ut på dato hver gang en gruppe skifter navn. Bygger du den i stedet rundt metode, altså phishing, stjålne pålogginger og misbruk av verktøy for fjernstyring, holder den også mot dem som kommer etter.

Det andre du bør ta med deg, er hva som lå i kontoene hans: data fra tolv ofre, lenge etter at innbruddene skjedde. Har du mistet data i et innbrudd, er det verdt å vite at materialet lever videre på private hender lenge etter at saken er lukket hos deg. Vi anbefaler derfor å regne oppfølgingen i år og ikke i uker. Tidslinjen i denne saken sier noe om det samme: pågripelse i juli 2023, utlevering i oktober 2025, dom i september 2026. Politiet kommer, men de kommer sent, og risikoreduksjonen din kan ikke vente på dem. Meld hendelsen likevel, for det var sporene på kontoer og utstyr som knyttet denne mannen til ofrene.

Berigo anbefaler

• Bygg deteksjon og øvelser rundt metode og ikke rundt gruppenavn, slik at de fortsatt treffer når navnet skiftes ut.
• Krev flerfaktor på all ekstern tilgang, og steng RDP som står åpent mot internett.
• Del nettet opp, slik at et innbrudd på én maskin ikke gir vei videre til alt du har.
• Øv på varianten der dataene alt er ute. Avgjør på forhånd hvem som varsler de rammede, og hvem som snakker med tilsynet.
• Meld hendelsen til politiet, og sikre logger og utstyr før noe ryddes bort.