Peter Williams, ex dipendente dell’azienda appaltatrice della difesa, si è dichiarato colpevole presso un tribunale federale degli Stati Uniti di due capi d’accusa per furto di segreti commerciali, ammettendo di aver venduto otto vulnerabilità zero-day a un intermediario russo per milioni di dollari in criptovaluta.

Secondo il fascicolo, Williams, 39 anni, che lavorava per una filiale di una società chiamata Trenchant, ha copiato illegalmente componenti software interni creati esclusivamente per il governo degli Stati Uniti e i suoi alleati nel corso di tre anni. Ha rivenduto questi strumenti, progettati per operazioni informatiche, a un broker che si spaccia apertamente per fornitore di exploit per vari clienti.

L’indagine ha stabilito che le transazioni sono avvenute tramite canali di comunicazione crittografati dal 2022 a quest’anno. Williams ha stipulato contratti con l’intermediario, indicato nei documenti del tribunale come “Società n. 3”, e ha ricevuto pagamenti in criptovaluta , parte dei quali ha poi speso in beni di lusso.

Durante l’udienza, i pubblici ministeri hanno chiarito che questa designazione si riferisce a Operation Zero, una piattaforma che si autodefinisce “l’unico mercato ufficiale per l’acquisto di vulnerabilità zero-day”.

I procuratori hanno citato un post sui social media di Operation Zero, in cui l’azienda offriva milioni di dollari per exploit iOS e Android, sottolineando che il cliente finale era un “Paese non NATO”. Questa formulazione, secondo l’accusa, corrisponde al testo di un annuncio pubblicato nel 2023.

L’agenzia ha riferito che Williams aveva precedentemente prestato servizio presso l’Australian Signals Directorate e poi era stato trasferito a Trenchant, dove aveva avuto accesso a software sviluppati per operazioni informatiche di sicurezza nazionale. Fu durante questo periodo che rubò il codice sorgente e gli sviluppi interni.

Il Dipartimento di Giustizia ha stimato il danno subito dall’appaltatore della difesa in 35 milioni di dollari, affermando che il trasferimento di strumenti così sofisticati avrebbe potuto fornire ad attori stranieri i mezzi per condurre attacchi informatici contro “numerose vittime ignare”.

Ogni accusa prevede una pena massima di 10 anni di carcere e una multa fino a 250.000 dollari o il doppio dell’importo dei profitti illeciti. Secondo le linee guida federali, il giudice Lauren Alikhan determinerà una pena compresa tra sette anni e tre mesi e nove anni. Williams sarà inoltre condannato a pagare una multa fino a 300.000 dollari e a un risarcimento di 1,3 milioni di dollari. Williams è stato posto agli arresti domiciliari in attesa della sentenza, prevista per gennaio.

Il Dipartimento di Giustizia ha definito le azioni di Williams “un tradimento degli interessi degli Stati Uniti e del suo stesso datore di lavoro”, sottolineando la natura deliberata del crimine. La Procura ha osservato che i trafficanti di exploit internazionali stanno diventando “una nuova generazione di trafficanti d’armi” e ha sottolineato che indagare su casi simili contro insider e intermediari rimane una priorità per le agenzie di intelligence.

L'articolo 0day come armi: ha venduto 8 exploit 0day della difesa USA a Mosca proviene da Red Hot Cyber.