Die operative Struktur der Mario-Kart-Gang, wie die Tätergruppe vom FBI verfolgungsbeamten genannt wird, entsprach einem professionellen Unternehmen mit klarer Arbeitsteilung. Angelov und sein Co-Manager rekrutierten und überwachten ein Team von spezialisierten Cyberkriminellen: Softwareentwickler schrieben Malware-Code, andere programmierten Spam-Versandsysteme, während weitere die Schadsoftware gezielt zur Umgehung von Sicherheitssystemen anpassten.
Die Mechanik des Angriffs war einfallsreich und äußerst effektiv. Das Botnet verschickte täglich bis zu 700.000 Phishing-E-Mails an Unternehmen weltweit. Die Empfänger wurden dazu verleitet, Dateianhänge zu öffnen, die versteckte Malware enthielten. Auf dem Höhepunkt der Operation wurden täglich etwa 3.000 Computer neu infiziert und ins Botnet integriert. Dieses Netzwerk aus kompromittierten Rechnern wurde dann wie eine Ware an andere Cyberkriminelle verkauft – insbesondere an Betreiber von Ransomware-as-a-Service-Operationen (RaaS). Diese zahlten für Zugriff auf die befallenen Systeme und nutzten diese dann für ihre eigenen Erpressungsattacken.
Zwischen August 2018 und Dezember 2019 wurden auf diese Weise über 70 US-Unternehmen mit BitPaymer-Ransomware infiziert. Die erbeuteten Lösegeldforderungen beliefen sich auf über 14 Millionen US-Dollar – Gelder, die meist in Kryptowährungen bezahlt wurden. Parallel dazu zahlte die IcedID-Gang, angeführt durch Vyacheslav Igorevich Penchukov, Angelov und seinen Mitarbeitern weitere eine Million Dollar für separaten Zugriff auf das Botnet zwischen Ende 2019 und August 2021.
Die Vernetzung dieser kriminellen Ökosysteme zeigt ein System, das dem organisierten Verbrechen gleicht. TA551, wie die Gruppe von Threat-Analysten auch genannt wurde, kooperierte mit der berüchtigten TrickBot-Gang bei der Verbreitung von Conti-Ransomware. Sie war zudem an der Lockean-Ransomware-Operation beteiligt und half dabei, ProLock-, Egregor- und DoppelPaymer-Payloads auf mit Qbot-Banking-Trojanern infizierte Geräte zu laden.
Das Urteil gegen Angelov ist Teil einer breiteren Offensive gegen Cyberkriminelle: In der gleichen Woche wurde der 26-jährige Aleksey Olegovich Volkov zu fast sieben Jahren Haft verurteilt, nachdem er als Initial-Access-Broker für Yanluowang-Ransomware-Attacken tätig gewesen war. Solche Koordinierungseffekte innerhalb der Cyberkriminalität machen deutlich, warum internationale Zusammenarbeit bei der Verfolgung dieser Täter so zentral ist.