EU sanktioniert 300-Millionen-Dollar-Ransomware-Angriffe von Trickbot

Vitaly Nikolayevich Kovalev, der russische Staatsbürger, der das Trickbot-Ransomware-Syndikat unter dem Alias „Stern“ leitete, wurde von der Europäischen Union mit Sanktionen belegt. 

Die Sanktion ist das Ergebnis einer koordinierten Aktion mit den Vereinigten Staaten und dem Vereinigten Königreich, die ein breites Netzwerk von Cyberkriminellen und die Dienste, die sie online halten, ins Visier nahm. 

Wer ist Stern? 

Vitaly Nikolayevich Kovalev, ein 36-jähriger russischer Staatsbürger und Betreiber des Trickbot-Ransomware-Syndikats, wurde von der EU mit Sanktionen belegt. Dies ist das erste Mal, dass eine Sanktionsbehörde den Namen „Stern“ namentlich mit Kovalev in Verbindung bringt. 

Das Office of Foreign Assets Control des US-Finanzministeriums und das Office of Financial Sanctions Implementation des Vereinigten Königreichs verhängten erstmals im Februar 2023 Sanktionen gegen Kovalev, doch die Einträge brachten ihn mit den Pseudonymen „Ben“ und „Bentley“ in Verbindung. 

Das Bundeskriminalamt (BKA) nannte ihn im Mai 2025 öffentlich als den Mann hinter Stern, und nach der Entdeckung wurde eine Interpol-Fahndungsnotiz (Red Notice) herausgegeben.

Kovalev fungierte als eine Art „CEO“-Anführer der Trickbot- und Conti-Gruppen. Laut über 300.000 internen Nachrichten, die ein Mitglied 2022 veröffentlichte, hatte er die Kontrolle über das Budget, die Personalbeschaffung und die Angriffsplanung der Gruppe. 

Die Gruppe bestand aus mehr als 100 Mitgliedern, hatte physische Büros und zahlte die Gehälter der Mitglieder in Bitcoinaus. Sie boten sogar Prämien für den Mitarbeiter des Monats an.

Seine Gruppe drang in über 1.000 Organisationen weltweit ein, darunter die irische Gesundheitsbehörde HSE während der COVID-19-Pandemie im Mai 2021, den Juwelier Graff sowie zahlreiche weitere Krankenhäuser und Banken in den USA und Europa. Allein im Jahr 2021 wurden schätzungsweise 180 Millionen US-Dollar eingenommen.

Kovalev transferierte außerdem Gelder im Zusammenhang mit verschiedenen Ransomware-Varianten, darunter Ryuk, Conti, Diavol, Karakurt, Royal, Quantum und Bitpaymer. Mehr als 300 Millionen US-Dollar flossen als sein persönlicher Anteil an den Lösegeldzahlungen in seine Wallets.

Dank der Sanktionen wurden Kovalevs On-Chain-Wallet-Adressen veröffentlicht, was es ihm erschwert, Gelder über Kryptowährungsbörsen und Finanzdienstleister zu transferieren. Er soll sich in Russland aufhalten, das seine Staatsangehörigen leider nicht zur Strafverfolgung im Ausland ausliefert.

Welche anderen Dienste waren von den Sanktionen betroffen?

Das OFAC verhängte außerdem Sanktionen gegen First VPN Service (1VPNS) und dessen Administrator Dmytro Rashevskyi. Der Dienst ermöglichte es Kriminellen Berichten zufolge, ihren Internetverkehr und ihren tatsächlichen Standort zu verschleiern. Er war seit 2014 aktiv und bewarb seine Dienste in Foren für Cyberkriminelle mit dem Versprechen, keine Protokolle zu speichern und nicht mit den Strafverfolgungsbehörden zu kooperieren. 

Den Ermittlern gelang es, Wallet-Adressen sowohl mit der Plattform als auch mit deren Administrator über acht Blockchains hinweg in Verbindung zu bringen, darunter Bitcoin, Zcash, Dogecoin, Ethereum, Litecoin, Dash, TRONund Solana. Europäische Behörden schalteten die Website 1VPNS im Mai 2026 mit Unterstützung des FBI-Büros in Boston ab.

Die EU verhängte außerdem Sanktionen gegen die Entwickler des LummaC2-Infostealers, Maksim Voronin und Maksim Gordienko, deren Plattform in den Jahren 2024 und 2025 zu den weltweit am häufigsten verwendeten Infostealern zählte, bevor im Mai 2025 eine vom US-Justizministerium, Europol und dem japanischen Cybercrime Control Center geleitete Aktion zur Abschaltung der Plattform begann. 

Weitere Namen, die auf der Sanktionsliste landeten, sind der Kryptor-Anbieter Yevgeniy Silayev, Media Land LLC, die Einheit 29155 des russischen GRU sowie die prorussischen Hacktivistengruppen CARR und Z-Pentest.

Lesen Sie Krypto-News nicht nur, sondern verstehen Sie sie. Abonnieren Sie unseren Newsletter. Er ist kostenlos.