| REvil | |
|---|---|
| Tipul organizației | Hacking |
REvil ( Ransomware Evil , cunoscut și sub numele de Sodinokibi ) este un grup organizat (bandă) de infractori cibernetici care furnizează servicii ransomware [1] . În cazul refuzului de a plăti răscumpărarea , REvil a publicat informațiile confidențiale ale victimei pe pagina lor numită Happy Blog . Grupul avea sediul în Rusia [2] și a fost lichidat în timpul unei operațiuni speciale de către FSB în ianuarie 2022 [3] .
REvil este considerată a fi una dintre cele mai active bande cibernetice din lume [4] [5] . Unele dintre atacurile REvil au primit o largă publicitate.
MărAtacul REvil asupra Apple a câștigat notorietate , timp în care schemele pentru viitoarele produse ale companiei au fost furate.
Guvernul TexasREvil a fost legat de un atac din 2019 asupra a zeci de guverne locale din Texas [6] .
JBS SAPotrivit FBI , REvil se află în spatele atacului asupra JBS , cel mai mare furnizor de carne din lume [7] .
KaseyaPe 2 iulie 2021, REvil a atacat compania americană de IT Kaseya, un furnizor de software corporativ, după care atacul s-a răspândit în rețele la clienții Kaseya [a] . Aproximativ 200 de clienți ai Kaseya [b] [c] au devenit victime ale atacului . Huntress Labs, o companie de securitate IT, a numit atacul colosal. Hackerii susțin că au obținut acces la un milion de sisteme informatice din întreaga lume ca urmare a atacului Kaseya și cer de la victime 70 de milioane de dolari bitcoin în schimbul unui „decriptor universal” despre care spun că va putea redeschide toate fișierele [9] ] . Agenția Federală de Securitate Cibernetică a lansat o investigație asupra incidentului [6] .
BBC News notează că atacul asupra Kaseya a avut loc la scurt timp după o întâlnire la summit între președinții Rusiei și Statelor Unite, în care s-a discutat, printre altele, probleme de securitate cibernetică [6] .
Observatorii au remarcat asemănarea metodelor lui REvil cu DarkSide , un alt grup criminal de hacking cu legături cu Rusia. De exemplu, codul ransomware folosit de DarkSide seamănă cu cel folosit de REvil, sugerând că DarkSide este fie un furk, fie partener al REvil [10] [11] . În plus, atât DarkSide, cât și REvil folosesc cereri de răscumpărare redactate în mod similar și același cod care verifică dacă victima nu se află într-o țară CSI [12] .
Motivul declarațiilor experților americani cu privire la afilierea și legătura grupului REvil cu Rusia și serviciile speciale ruse a fost „elementele caracteristice în codul de cifră și corespondența în limba rusă” [13] . Igor Bederov, expert la centrul de inginerie SafeNet al Inițiativei Naționale Tehnologice , consideră că infractorii pot folosi în mod deliberat limbi străine pentru a-și ascunde naționalitatea, de exemplu, grupuri de traficanți de droguri și traficanți de oameni au vorbit și au corespuns numai în engleză [14] [15] .
Specialiștii din Positive Technologies notează că numărul atacurilor hackerilor din lume a crescut cu 0,3% în a doua jumătate a anului 2021 [16] [17] , numărul atacurilor asupra companiilor rusești s-a triplat [18] [19]
După cum sa dovedit în ianuarie 2022, grupul avea într-adevăr sediul în Rusia [20] .
Pe 13 iulie 2021, site-urile REvil de pe dark web au încetat să mai răspundă la interogările de căutare. Unii experți din SUA au sugerat că dispariția bruscă a lui REvil din darknet se poate datora unei convorbiri telefonice între președinții SUA și Rusia cu o zi înainte [21] .
Publicații străine de top - New York Times , CNN , BBC , Threatpost, o sursă independentă de știri și materiale analitice privind securitatea cibernetică și altele - au legat această acțiune de o posibilă blocare a grupului de către serviciile de informații americane, restrângerea activităților la ordinul Serviciile ruse de informații, sau hackerii pur și simplu „au intrat în umbră”, pentru care au părăsit spațiul rețelei pentru a se proteja de o eventuală arestare, potrivit experților, inclusiv directorul de tehnologie la BreachQuest, Jake Williams (n. Jake Williams) [22] ] .
La 14 ianuarie 2022, în cadrul unei operațiuni speciale a FSB și a Ministerului rus al Afacerilor Interne , desfășurată la solicitarea autorităților americane, activitățile grupului au fost oprite. Reținerea a avut loc pe teritoriul regiunilor Moscova , Sankt Petersburg , Moscova , Leningrad și Lipetsk [20] . Hackerii au confiscat 426 de milioane de ruble, 500 de mii de euro, 600 de mii de dolari, 20 de mașini premium [3] [23] [5] .
Experții Trustwave au remarcat că tulburările dintre hackeri care au început în 2021 s-au intensificat după arestarea lui REvil. Participanții la forum au început să schimbe numeroase sfaturi despre cum să se protejeze dacă agențiile ruse de aplicare a legii continuă să lupte activ împotriva criminalității cibernetice. Mulți au criticat acțiunile REvil pentru lăudarea ostentativă cu realizările sale și atacurile asupra corporațiilor de mai multe miliarde de dolari situate în țări care ar putea forța guvernul rus să ia măsuri [24] .
Potrivit companiei de securitate a informațiilor ReversingLabs, după arestările presupușilor membri ai grupului, numărul de noi infecții pe zi a crescut de la 24 (169 pe săptămână) la 26 (180 pe săptămână). Această cifră este mult mai mare în comparație cu septembrie (43 de infecții pe zi - 307 pe săptămână) și octombrie (22 de infecții pe zi - 150 pe săptămână), 2021, când REvil a fost brusc offline, dar semnificativ mai scăzută comparativ cu iulie (87 de infecții pe zi). - 608 pe săptămână) [25] .
Pe 19 aprilie, specialiștii în securitate cibernetică pancak3 și Soufiane Tahiri au fost primii care au observat activitatea site-urilor REvil. Cert este că noul „site pentru scurgeri” REvil a început să fie promovat prin intermediul forumului-piață în limba rusă RuTOR (a nu fi confundat cu tracker-ul de torrent cu același nume). Noul site este găzduit pe un alt domeniu, dar este legat de site-ul original REvil care era în uz când grupul era încă activ. Pe cele 26 de pagini ale site-ului sunt enumerate și companiile care au suferit din cauza ransomware-ului, majoritatea fiind victime vechi ale REvil. Doar ultimele două atacuri par a fi legate de noua campanie, iar una dintre victime este compania de petrol și gaze Oil India. [26]