La autoría original del kit de malware Andromeda/Gamarue no se ha confirmado públicamente, y el código subyacente se vendió como un kit de crimeware como servicio en foros clandestinos a partir de alrededor de 2011, lo que significa que muchos actores de amenazas distintos operaron sus propias botnets basadas en Andromeda. 

Sin embargo, la afirmación de que las personas detrás de Andromeda permanecen completamente en el anonimato no es exacta. Como parte de la histórica operación internacional de desmantelamiento de noviembre de 2017 (anunciada públicamente el 4 de diciembre de 2017), un ciudadano bielorruso fue arrestado en relación con la operación de una de las instancias principales de la botnet. Europol y las autoridades bielorrusas se negaron a nombrar públicamente al sospechoso en ese momento, pero la firma de ciberseguridad Recorded Future evaluó con alta confianza que la persona arrestada era Sergey Yarets (también conocido por el alias "Ar3s", y mencionado en foros clandestinos como "el bielorruso"). 

Yarets había operado en foros clandestinos criminales de habla rusa desde al menos 2004 y también era conocido por los alias "Apec" y "Ch1t3r". Se evaluó que Yarets era un operador principal que alquilaba acceso a la infraestructura de la botnet Andromeda a otros cibercriminales, no necesariamente el único desarrollador original del código del malware en sí. Posteriormente fue condenado por las autoridades bielorrusas. Tras cooperar con los investigadores y entregar sus ganancias criminales (aproximadamente 11.000 rublos bielorrusos, o ~$5.400), recibió una sentencia leve en 2018, con su multa acreditada contra los seis meses que ya había cumplido tras su arresto en diciembre de 2017. La familia más amplia de malware Andromeda, que abarca más de 80 variantes de malware asociadas y 464 botnets distintas, se desarrolló y distribuyó a través de un ecosistema criminal difuso en lugar de un solo grupo monolítico.

Lee más en Europol aquí.