Nach Angaben des US-Justizministeriums stieg Lytvynenko im September 2021 in die Conti-Operation ein. Er räumte ein, die gestohlenen Daten von acht Opfern in den USA und vier Opfern im Ausland kontrolliert und im Rahmen der doppelten Erpressung der Gruppe zwischen 2020 und Juni 2022 Lösegeldforderungen verschickt zu haben.
„Von 2020 bis 2022 wurde Conti eingesetzt, um Computer und Netzwerke in 47 Bundesstaaten, 31 ausländischen Staaten, dem District of Columbia und Puerto Rico anzugreifen. Das FBI schätzt, dass es bis Januar 2022 Zahlungen von Opfern im Zusammenhang mit der Conti-Ransomware in Höhe von mehr als 150 Millionen US-Dollar gab“, erklärte das Justizministerium.
Der stellvertretende Generalstaatsanwalt A. Tysen Duva führte aus: „Lytvynenko schloss sich dieser Verschwörung sowohl als Eindringling als auch als Entwickler an – er schädigte persönlich mindestens zwölf Unternehmen, speicherte gestohlene Daten von Opfern und half beim Bau der Schadwerkzeuge, die Conti nutzte, um Gemeinschaften zu erpressen und zu bedrohen.“ Der Verurteilte gab zudem zu, sich einem Team unter Leitung eines weiteren Conti-Mittäters angeschlossen und dort einen „Loader“ programmiert zu haben – eine Schadsoftware, die die für die Angriffe benötigten Programme nachlädt.
Die Conti-Operation ging 2020 aus der Cybercrime-Gruppe Ryuk hervor und unterhielt enge Verbindungen zur TrickBot-Bande. Bekannt wurde sie durch groß angelegte Angriffe auf Gesundheitseinrichtungen, Regierungsstellen und Unternehmen. Conti entwickelte sich zu einem Syndikat, das mehrere Malware-Operationen kontrollierte, darunter BazarBackdoor und TrickBot, und stellte den Betrieb 2022 nach wachsendem Druck der Strafverfolgung und geleakten internen Chats ein.
Aus der Gruppe gingen später weitere Ransomware-Banden hervor, unter anderem BlackCat, Black Basta, ZEON, Hive, Quantum, BlackByte, Karakurt und die Silent Ransom Group. Im Februar 2023 wurden sieben Mitglieder von TrickBot und Conti sanktioniert, nachdem persönliche Daten und interne Unterhaltungen der Beteiligten unter den Bezeichnungen ContiLeaks und TrickLeaks massenhaft öffentlich geworden waren.
Im September 2023 sanktionierten und beschuldigten die USA und das Vereinigte Königreich neun russische Staatsbürger, die mit Conti und TrickBot in Verbindung stehen, wegen Angriffen auf mehr als 900 Opfer weltweit. Das Bundeskriminalamt veröffentlichte im Mai 2025 die Identität des Anführers der TrickBot- und Conti-Banden: Es handele sich um einen 36-jährigen Russen namens Vitaly Nikolaevich Kovalev, der den Alias „Stern“ verwendet.
Laut Gerichtsunterlagen richtete sich die Conti-Bande während ihrer aktiven Zeit gegen mehr als 1.000 Opfer weltweit und nahm über 150 Millionen US-Dollar an Lösegeldzahlungen ein.