Een 34-jarige Armeense man heeft schuld bekend voor het hacken van Amerikaanse bedrijven en het inzetten van de beruchte Ryuk-ransomware om hun systemen te versleutelen. Karen Serobovich Vardanyan werd in april 2025 in Kiev gearresteerd en vervolgens uitgeleverd aan de Verenigde Staten, waar hij wordt beschuldigd van het verschaffen van initiële toegang tot bedrijfsnetwerken.

Volgens documenten van de rechtbank hielp Vardanyan tussen november 2019 en april 2020 bij het inzetten van Ryuk-ransomware op de netwerken van meerdere Amerikaanse organisaties na het illegaal binnendringen van hun systemen. Bij een van de aanvallen drongen Vardanyan en zijn medeplichtigen een bedrijf in Michigan binnen, dat vervolgens 200 bitcoins betaalde, destijds meer dan 1,1 miljoen dollar waard. Andere bekende aanvallen betroffen een technologiebedrijf in Wilsonville, Oregon, en een school in Texas.

Het Amerikaanse ministerie van Justitie stelt dat Vardanyan en zijn medeplichtigen illegaal toegang kregen tot de computernetwerken van de slachtoffers en ransomware verspreidden op honderden gecompromitteerde servers en werkstations. Zij ontvingen ongeveer 1.610 bitcoins aan losgeld, met een waarde van circa 15 miljoen dollar op dat moment, aldus het U.S. Department of Justice.

De Ryuk-ransomwaregroep was actief van 2018 tot halverwege 2020 en voerde gerichte aanvallen uit op organisaties in vrijwel alle sectoren, waaronder zorginstellingen tijdens de COVID-19-pandemie. Op het hoogtepunt zou de groep wekelijks ongeveer twintig organisaties hebben gehackt en meer dan 150 miljoen dollar hebben verdiend.

Na de ontmanteling van Ryuk in 2020 stapten veel leden over naar de Conti-ransomwaregroep, die uitgroeide tot een van de meest actieve cybercriminelen. Conti viel in 2022 uiteen na het uitlekken van interne chats en broncode, waarna de leden zich verspreidden over diverse andere cybercrimegroepen, waarvan sommige nog steeds actief zijn.

Vardanyan werd in februari 2024 door een federale jury in Portland aangeklaagd en staat gepland voor zijn strafzaak in september 2026. Hij riskeert maximaal 15 jaar gevangenisstraf voor twee afzonderlijke aanklachten, naast boetes van 250.000 dollar per aanklacht. Als onderdeel van zijn schikking stemde hij in met een restitutiebetaling van meer dan 1,1 miljoen dollar.