| REvil | |
|---|---|
| Organisationstype | Hacking |
REvil ( Ransomware Evil , også kendt som Sodinokibi ) er en organiseret gruppe (bande) af cyberkriminelle , der leverer ransomware-tjenester [1] . I tilfælde af afvisning af at betale løsesum offentliggjorde REvil ofrets fortrolige oplysninger på deres side kaldet Happy Blog . Gruppen var baseret i Rusland [2] og blev likvideret under en særlig operation af FSB i januar 2022 [3] .
REvil anses for at være en af de mest aktive cyberbander i verden [4] [5] . Nogle af REvils angreb har fået bred omtale.
ÆbleREvil-angrebet på Apple blev kendt , hvor ordninger for virksomhedens fremtidige produkter blev stjålet.
Texas regeringREvil er blevet forbundet med et angreb i 2019 på snesevis af lokale regeringer i Texas [6] .
JBS SAIfølge FBI står REvil bag angrebet på JBS , verdens største kødleverandør [7] .
KaseyaDen 2. juli 2021 angreb REvil det amerikanske it-firma Kaseya, en virksomhedssoftwareudbyder, hvorefter angrebet spredte sig på tværs af netværk til Kaseyas kunder [a] . Omkring 200 klienter af Kaseya [b] [c] blev ofre for angrebet . Huntress Labs, et it-sikkerhedsfirma, kaldte angrebet kolossalt. Hackerne hævder at have fået adgang til en million computersystemer verden over som følge af Kaseya-angrebet og kræver 70 millioner dollars i bitcoins fra ofrene i bytte for en "universal dekryptering", som de siger vil være i stand til at genåbne alle filer [9 ] . Federal Cybersecurity Agency iværksatte en undersøgelse af hændelsen [6] .
BBC News bemærker, at angrebet på Kaseya fandt sted kort efter et topmøde mellem Ruslands og USA's præsidenter, som blandt andet diskuterede cybersikkerhedsspørgsmål [6] .
Observatører har bemærket ligheden mellem REvils metoder og DarkSide , en anden hacker-kriminel gruppe med tilknytning til Rusland. For eksempel ligner ransomware-koden, der bruges af DarkSide, den, der bruges af REvil, hvilket tyder på, at DarkSide enten er en gaffel eller partner til REvil [10] [11] . Derudover bruger både DarkSide og REvil lignende krav om løsesum og den samme kode, der kontrollerer, at offeret ikke befinder sig i et CIS -land [12] .
Årsagen til amerikanske eksperters udtalelser om REvil-gruppens tilknytning og forbindelse til Rusland og de russiske specialtjenester var "karakteristiske elementer i chifferkoden og korrespondance på russisk" [13] . Igor Bederov, en ekspert ved SafeNet- ingeniørcentret for National Technology Initiative , mener, at kriminelle bevidst kan bruge fremmedsprog for at skjule deres nationalitet, for eksempel talte og korresponderede grupper af narkohandlere og menneskesmuglere kun på engelsk [14] [15] .
Positive Technologies- specialister bemærker, at antallet af hackerangreb i verden steg med 0,3 % i andet halvår af 2021 [16] [17] , antallet af angreb på russiske virksomheder tredobledes [18] [19]
Som det viste sig i januar 2022, var gruppen faktisk baseret i Rusland [20] .
Den 13. juli 2021 holdt REvil-websteder på det mørke web op med at svare på søgeforespørgsler. Nogle eksperter i USA har foreslået, at REvils pludselige forsvinden fra darknet kan skyldes en telefonsamtale mellem præsidenterne i USA og Rusland dagen før [21] .
Førende udenlandske publikationer - New York Times , CNN , BBC , Threatpost, en uafhængig kilde til nyheder og analytisk materiale om cybersikkerhed, og andre - forbinder denne handling med en mulig blokering af gruppen af amerikanske efterretningstjenester, indskrænkning af aktiviteter efter ordre fra Russiske efterretningstjenester eller hackere "gik simpelthen ind i skyggerne", som forlod netværksrummet for at beskytte sig selv mod mulig arrestation, ifølge eksperter, herunder teknologidirektøren hos BreachQuest, Jake Williams (født Jake Williams) [22 ] .
Den 14. januar 2022, under en særlig operation af FSB og det russiske indenrigsministerium , udført på anmodning fra de amerikanske myndigheder, blev gruppens aktiviteter stoppet. Tilbageholdelsen fandt sted på områderne Moskva , Skt. Petersborg , Moskva , Leningrad og Lipetsk- regionerne [20] . Hackerne beslaglagde 426 millioner rubler, 500 tusind euro, 600 tusind dollars, 20 premium-biler [3] [23] [5] .
Trustwave eksperter bemærkede, at urolighederne blandt hackere, der begyndte tilbage i 2021, blev intensiveret efter arrestationen af REvil. Forumdeltagere begyndte at udveksle adskillige tips om, hvordan man beskytter sig selv, hvis russiske retshåndhævende myndigheder fortsætter med aktivt at bekæmpe cyberkriminalitet. Mange kritiserede REvils handlinger for prangende prale af dets præstationer og angreb på multi-milliard dollar selskaber beliggende i lande, der kunne tvinge den russiske regering til at handle [24] .
Ifølge informationssikkerhedsfirmaet ReversingLabs steg antallet af nye infektioner om dagen fra 24 (169 om ugen) til 26 (180 om ugen) efter anholdelserne af påståede medlemmer af gruppen. Dette tal er meget højere sammenlignet med september (43 infektioner pr. dag - 307 pr. uge) og oktober (22 infektioner pr. dag - 150 pr. uge), 2021, hvor REvil pludselig gik offline, men betydeligt lavere sammenlignet med juli (87 infektioner pr. dag) - 608 pr. uge) [25] .
Den 19. april var cybersikkerhedsspecialister pancak3 og Soufiane Tahiri de første til at bemærke aktiviteten på REvil-webstederne. Faktum er, at den nye "side for lækager" REvil begyndte at blive annonceret gennem den russisksprogede forum-markedsplads RuTOR (ikke at forveksle med torrent-trackeren af samme navn). Det nye websted er hostet på et andet domæne, men linket til det originale REvil-websted, der var i brug, da gruppen stadig var aktiv. De 26 sider på webstedet viser også virksomheder, der har lidt under hænderne på ransomware, hvoraf de fleste er gamle ofre for REvil. Kun de sidste to angreb ser ud til at være relateret til den nye kampagne, og et af ofrene er olie- og gasselskabet Oil India. [26]