Федеральный суд в Бруклине 28 октября 2026 года приговорил гражданина Украины Артёма Стрыжака к 70 месяцам заключения за атаки шифровальщиков Nefilim и Hive. Приговор аффилиату Hive интересен не сроком, а материалами дела: по ним видно, как вымогатели сдают код в аренду и почему посадка одного исполнителя не делает вашу сеть безопаснее.

Приговор аффилиату Hive: что решил суд в Бруклине

Суд Восточного округа Нью-Йорка 28 октября 2026 года назначил Артёму Стрыжаку (Artem Stryzhak) 70 месяцев лишения свободы, то есть 5 лет и 10 месяцев. Приговор вынесла федеральный судья Памела К. Чен, о нём сообщила прокуратура округа.

Стрыжак признал вину в декабре 2025 года: сговор с целью компьютерного мошенничества, вымогательства и связанных с ними преступлений. Его задержали в Испании в 2024 году и в апреле 2025-го экстрадировали в США. Прокурор Джозеф Ночелла-младший поблагодарил за помощь нью-йоркское отделение ФБР, Управление международных дел и отдел по компьютерным преступлениям и интеллектуальной собственности (CCIPS) Минюста, а также испанскую полицию.

«Атаки вымогателей вроде тех, что совершал подсудимый, наносят огромный ущерб: компании платят миллионы за восстановление и выкупы, больницы теряют доступ к данным, а конфиденциальная информация оказывается у преступников», заявил Ночелла.

Обвинение описывает Стрыжака как участника двух вымогательских программ, Nefilim и Hive. Обе работали по партнёрской схеме: администраторы держали код и платформу, аффилиат атаковал. В отрасли такую модель называют RaaS (ransomware as a service).

За что аффилиат отдавал администраторам 20 % выкупа?

За доступ к шифровальщику. Администраторы Nefilim не принимали Стрыжака в группу, а сдали ему код в аренду: в июне 2021 года они открыли доступ в обмен на 20 % от каждого полученного выкупа. Атаки он запускал со своей учётной записи на их онлайн-платформе.

Пьерлуиджи Паганини из Security Affairs сравнил схему с лицензионными отчислениями: даже преступность берёт роялти.

Под каждую жертву собирался отдельный исполняемый файл с уникальными ключами расшифровки и своей запиской о выкупе. Единого декриптора для всех жертв поэтому нет: ключ уникален под каждую атаку. Как Стрыжак попадал в сети своих жертв, материалы дела не раскрывают.

Один эпизод из материалов суда показывает темп. В июне 2021 года у транспортной компании из нефтегазовой отрасли украли данные, а примерно через неделю Стрыжак завёл почтовые адреса, которые попали в записку с требованием выкупа. Nefilim он продолжал применять как минимум до октября 2021 года.

Почему резервная копия не спасает от двойного вымогательства?

Двойное вымогательство лишает резервную копию статуса полного решения: файлы восстановить можно, а украденное назад не вернёшь. Операторы Nefilim совмещали шифрование с кражей данных, и записки прямо предупреждали, что при отказе платить файлы появятся на сайтах Corporate Leaks, которые вели администраторы.

Жертв выбирали не наугад. По данным обвинения, Стрыжак и соучастники изучали компании по онлайн-базам: оценивали состояние и размер, собирали контакты. Так давление можно было направить на конкретных людей в конкретной организации.

Среди жертв Hive, которых вменяют Стрыжаку, были юридические фирмы, стоматологическая клиника и медицинская организация. Для юрфирмы утечка клиентской переписки может оказаться страшнее простоя, для клиники то же касается медкарт.

Российского оператора персональных данных утечка ставит перед жёсткими сроками. По части 3.1 статьи 21 152-ФЗ он обязан уведомить Роскомнадзор об инциденте в течение 24 часов после обнаружения и сообщить результаты расследования в течение 72 часов. Восстановление из бэкапа эти обязанности не снимает, если данные успели вынести.

Сколько жертв было у Hive и сколько на счету Стрыжака?

Лично Стрыжаку и соучастникам вменяют семь жертв Hive, а вся операция с июня 2021 по январь 2023 года атаковала около 1 500 организаций по миру. Семь эпизодов составляют меньше 0,5 % от общего числа жертв Hive: приговор получил один исполнитель, а не вся операция.

Стрыжак пришёл в Hive одним из первых аффилиатов. Группировка атаковала госорганы, больницы и бизнес, а по данным обвинения её атаки влияли и на меры по борьбе с пандемией COVID-19. Одна из больниц после атаки лечила пациентов без цифровых систем и не смогла сразу принимать новых.

Жертвы Стрыжака теряли доступ к зашифрованным данным. Вернуть данные без выкупа удалось только одной организации из семи, и не благодаря собственной подготовке.

Зачем ФБР отдала ключ и почему на это нельзя рассчитывать?

Ключ расшифровки, который ФБР передала одной из жертв Стрыжака, появился в ходе многомесячной операции против Hive. Эта организация вернула данные без выкупа. Остальные шесть такого шанса не получили.

Строить на этом план восстановления нельзя. Ключ стал результатом долгой работы правоохранителей против конкретной группировки, и предсказать заранее, достанется ли он именно вам и когда, невозможно. А у Nefilim с уникальными ключами под каждую атаку один найденный ключ не помог бы остальным пострадавшим.

Если шифрование уже произошло, сначала сохраните копии зашифрованных файлов, записку, журналы и образы ключевых систем. Самодельные утилиты и повторные попытки расшифровки портят и данные, и улики, без которых не помогут ни правоохранители, ни специалисты по реагированию.

Что проверить у себя, пока Тимощук на свободе?

Сообвиняемый Владимир Тимощук (Volodymyr Tymoshchuk), по версии обвинения администратор Nefilim и серийный разработчик вымогательского ПО, в розыске. Госдеп США по программе вознаграждений за сведения о транснациональной организованной преступности предлагает до $11 млн за информацию, которая поможет его арестовать, осудить или установить местонахождение. «Мы по-прежнему намерены задержать Владимира Тимощука», сказал Ночелла.

Пока администратор на свободе, приговор одному аффилиату конвейер не останавливает: код может достаться следующему партнёру на тех же условиях. Защищаться приходится от приёмов, а не от названий.

Заметка из практики: когда мы проводим внешний и внутренний пентест сети, первыми чаще всего находим забытый RDP или VPN без второго фактора, сервисные учётки с правами домена и бэкапы, которые удаляются с той же админской учётки. Пройдитесь по списку:

• фактическая доступность RDP и VPN снаружи: правила межсетевого экрана, NAT, группы безопасности в облаке (security groups);
• аномальные входы, новые администраторы, подозрительные службы и массовое обращение к файлам;
• признаки выноса данных: архивирование больших каталогов, загрузки в облака и на файлообменники, утилиты синхронизации;
• офлайн или неизменяемые копии, отделённые от домена, и регулярное тестовое восстановление из изолированной копии;
• после инцидента смена паролей и секретов, поиск механизмов закрепления, а не только возврат файлов.

Проверить, дойдёт ли реальный противник от первого входа до контроллера домена, помогает симуляция целевой атаки, а слабые места домена лучше искать прицельно, через пентест Active Directory.

Частые вопросы

Сколько дали Артёму Стрыжаку и за что?

70 месяцев, то есть 5 лет и 10 месяцев. В декабре 2025 года он признал вину в сговоре с целью компьютерного мошенничества, вымогательства и связанных преступлений.

Как аффилиат Nefilim получал доступ к шифровальщику?

Администраторы открыли ему доступ к коду в июне 2021 года в обмен на 20 % от выкупов. Атаки он запускал со своей учётной записи на их онлайн-платформе.

Что такое Corporate Leaks в схеме Nefilim?

Сайты утечек, которые вели администраторы Nefilim. Записки о выкупе грозили опубликовать там украденные данные, если жертва откажется платить.

Можно ли рассчитывать на ключ расшифровки от ФБР?

Нет. Ключ появился благодаря многомесячной операции ФБР против Hive и достался одной из семи жертв Стрыжака. Собственные офлайн-копии и отработанное восстановление заменить нечем.

Кто такой Владимир Тимощук?

Сообвиняемый по делу, которого обвинение называет администратором Nefilim и серийным разработчиком вымогательского ПО. Он в розыске, Госдеп США предлагает до $11 млн за сведения о нём.

Если хотите узнать, как далеко аффилиат вроде Стрыжака прошёл бы по вашей сети, команда HirexTech проведёт тестирование на проникновение и поможет закрыть найденное до того, как им воспользуются.