Laut US-Justizministerium gehörte Karen Serobovich Vardanyan zu den Beteiligten, die Ryuk in Netzwerken mehrerer US-Organisationen einsetzten, nachdem sie sich unbefugt Zugang zu deren Systemen verschafft hatten. Die Taten sollen sich über den Zeitraum von November 2019 bis April 2020 erstreckt haben. Vardanyan wurde im Februar 2024 von einer Bundesjury in Portland angeklagt.
Ein konkreter Fall betrifft nach den Gerichtsunterlagen ein Unternehmen im Bundesstaat Michigan. Dort drangen Vardanyan und seine Mitverschwörer ein und lösten eine Lösegeldzahlung von 200 Bitcoin aus, die damals mehr als 1,1 Millionen US-Dollar wert waren. Weitere von der Staatsanwaltschaft genannte Angriffe betrafen ein Technologieunternehmen in Wilsonville im Bundesstaat Oregon sowie eine Schule in Texas.
Das Justizministerium beziffert die von Vardanyan und seinen Komplizen vereinnahmten Lösegeldzahlungen auf rund 1.610 Bitcoin. Zum damaligen Zeitpunkt habe dieser Betrag einem Wert von etwa 15 Millionen US-Dollar entsprochen. Nach Darstellung der Behörde wurden bei den Angriffen Hunderte kompromittierte Server und Arbeitsstationen mit der Schadsoftware verschlüsselt.
Ryuk war von 2018 bis Mitte 2020 aktiv und griff Organisationen in nahezu allen Sektoren an. Besonders hervorgehoben werden Angriffe auf Einrichtungen des Gesundheitswesens während der COVID-19-Pandemie. Schätzungen zufolge kompromittierte die Gruppe auf dem Höhepunkt ihrer Aktivitäten rund 20 Organisationen pro Woche und nahm mehr als 150 Millionen US-Dollar ein.
Nach dem Ende der Ryuk-Operation im Jahr 2020 wechselten viele ihrer Mitglieder laut Bericht zur Conti-Ransomware-Gruppe. Conti entwickelte sich rasch zu einer der aktivsten Hackergruppierungen. 2022 löste sich die Gruppe auf, nachdem interne Chats und Quellcode öffentlich geworden waren. Ihre Mitglieder splitteren sich anschließend in zahlreiche Cybercrime-Gruppen auf, von denen einige laut Quelle bis heute aktiv sind.
Vardanyan soll im September 2026 verurteilt werden. Für die zwei getrennten Anklagepunkte droht ihm eine Höchststrafe von 15 Jahren Gefängnis. Hinzu kommen mögliche Geldstrafen von jeweils 250.000 US-Dollar. Teil seiner Einigung ist zudem eine Entschädigungszahlung von mehr als 1,1 Millionen US-Dollar.