В понедельник, 28 ноября, с Кребсом связался исследователь, сообщивший, что ему удалось взломать почтовый ящик [email protected], указанный в качестве контактного адреса в требовании о выкупе за разблокировку систем агентства общественного транспорта Сан-Франциско. По словам эксперта, пожелавшего остаться неизвестным, скомпрометировать учетную запись злоумышленника удалось посредством подбора ответа на секретный вопрос и последующей переустановки пароля. Как выяснилось, почта [email protected] была связана с резервной учетной записью [email protected], защищенной аналогичным секретным вопросом и ответом.

Согласно полученным копиям сообщений, злоумышленник раз в несколько дней или недель меняет адрес своих биткойн-кошельков в целях безопасности. Как показал анализ более десятка биткойн-кошельков, с августа нынешнего года злоумышленнику удалось заработать по крайней мере $140 тыс. в биткойнах, полученных в качестве выкупа за восстановление зашифрованных файлов.

Копии сообщений, отправленных на адрес [email protected], указывают на то, что злоумышленник арендовал серверы у по меньшей мере двух хостинг-провайдеров. Один из серверов использовался для поиска уязвимых систем и компрометации жертв. Как показал анализ более 300 IP-адресов, управление сервером осуществлялось из Ирана, а имена Alireza и Mokhi в учетных записях на сервере могут указывать на предположительное имя или псевдоним злоумышленника.

В основном среди жертв киберпреступника числятся производственные и строительные компании из США, поэтому атака на метро в Сан-Франциско может расцениваться как исключение из правил. В большинстве случаев жертвы выплачивали требуемый выкуп в полном объеме.