Desaparece REvil, una pandilla de ransomware de habla rusa
La notoria banda de ransomware de habla rusa, REvil, ha desaparecido misteriosamente de Internet después de ejecutar ataques de alto perfil en cientos de empresas en todo el mundo.
Todavía no está claro por qué el grupo se ha desconectado, junto con su blog y sitios web de pago. Pero su repentina desaparición a pocos días de la declaración del presidente Biden plantea interrogantes sobre si las autoridades estadounidenses tuvieron algo que ver.
¿Quién es REvil?
REvil (Ransomware Evil o también conocido como Sobinokibi) es una pandilla de habla rusa. Se han dirigido a miles de empresas de alto perfil en todo el mundo. Amenazarían con publicar la información en su Happy Blog a menos que los objetivos pagaran el rescate.
Nadie ha podido precisar su ubicación, pero se cree que tiene su sede en Rusia porque la pandilla no tiene como objetivo las empresas rusas o las regiones del antiguo bloque soviético.
En el pasado, las autoridades del Reino Unido y los EE. UU. también acusaron a las redes privadas virtuales (VPN) para apuntar a organizaciones en todo el mundo y ocultar sus huellas digitales. Sin embargo, la embajada rusa en EE.UU. negó las acusaciones.
Objetivos malvados
En mayo de 2020, REvil robó casi un terabyte de información confidencial del bufete de abogados Grubman Shire Meiselas & Sacks, afirmando tener "ropa sucia" sobre el presidente Trump. La pandilla amenazó con publicar datos en línea si no se pagaba el ransomware de $ 42 millones. La pandilla declaró:
“La próxima persona que publicaremos es Donald Trump. Hay una carrera electoral en curso, y encontramos un montón de ropa sucia a tiempo. Sr. Trump, si quiere seguir siendo presidente, golpee a los muchachos con un palo afilado, de lo contrario, puede olvidar esta ambición para siempre".
En marzo de 2021, REvil atacó a Harris Federation y, como resultado, el sistema de TI de la organización se cerró durante semanas, lo que afectó a miles de usuarios.
En abril de 2021, REvil apuntó a Apple y robó planes para los próximos productos de Apple, incluidos Apple Watch, computadoras portátiles y más. La pandilla exigió 50 millones de dólares por información. Después del ataque, publicaron en su Happy Blog diciendo:
“Para no esperar a la próxima presentación de Apple, hoy nosotros, el grupo REvil, brindaremos datos sobre los próximos lanzamientos de la compañía tan querida por muchos. Tim Cook puede decir gracias Quanta”.
En mayo de 2021, JBS SA, una empresa de procesamiento de carne con sede en Brasil, fue atacada y desmanteló sus mataderos. Pocos días después del ataque, la Casa Blanca anunció que el REvil podría estar detrás del ataque. JBS pagó un rescate de $11 millones a REvil en Bitcoin.
El último objetivo de REvil fue Kaseya, un proveedor de tecnología estadounidense. El 2 de julio de 2021, REvil se centró en los sistemas de Kaseya y exigió un rescate de 70 millones de dólares para restaurar sus datos. Como resultado del ataque, Swedish Coop, una cadena de tiendas de comestibles, tuvo que cerrar casi 800 tiendas durante varios días.
Este fue uno de los mayores ataques de ransomware de la historia. El ataque afectó a miles de pequeñas empresas en todo el mundo. Después de la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU., se pidió a todos los usuarios que apagaran los servidores VSA de inmediato.
El ataque fue perfectamente sincronizado, el viernes, antes del largo feriado en los EE. UU., para propagarlo lo más rápido posible sin ser detectado.
Biden toma medidas contra REvil
Después del ataque, el presidente Joe Biden decidió tomar medidas y ordenó a las agencias de inteligencia de EE. UU. que investigaran al grupo detrás del ataque que afectó a cientos de empresas estadounidenses.
El 10 de julio, Biden llamó al presidente Vladimir Putin y le dijo que debía “tomar medidas”. Biden dijo además:
“Le dejé muy claro que Estados Unidos espera que cuando una operación de ransomware provenga de su suelo, aunque no esté patrocinada por el estado, esperamos que actúen si les brindamos suficiente información para actuar sobre quién es”.
Cuando se le preguntó si habría consecuencias, Biden sonrió y dijo: “Sí”. También dijo que Estados Unidos tomará medidas y eliminará los servidores del grupo REvil si Moscú no actúa.
La desaparición de la banda REvil
Los sitios web, blogs y “toda su infraestructura” de REvil se han oscurecido, dijo Allen Liska, analista de inteligencia de Recorded Future. Liska también dijo que el portavoz público de REvil, también llamado "Desconocido", " no ha estado activo en los foros de mensajes desde el jueves pasado", y el sitio no ha respondido desde hace algún tiempo.
Todavía no está claro por qué el grupo desapareció repentinamente de Internet o si la desaparición es solo temporal o permanente.
Los cambios recientes han provocado especulaciones sobre si la medida fue la decisión de REvil de cesar operaciones como la antigua banda rusa de ciberdelincuencia, DarkSide, o si fue el resultado de una acción dirigida por el gobierno de EE. UU.
John Hultquist, de Mandiant Threat Intelligence, dijo:
“La situación aún se está desarrollando, pero la evidencia sugiere que REvil ha sufrido un derribo planificado y simultáneo de su infraestructura, ya sea por parte de los propios operadores o a través de la industria o la aplicación de la ley… Si se trató de una operación de interrupción de algún tipo, es posible que nunca lleguen los detalles completos. a la luz."
Obviamente, esto es algo bueno, pero no para todas las empresas objetivo, como señala Brett Callow de Emsisoft :
“Si las fuerzas del orden lograron interrumpir las operaciones de la pandilla, eso obviamente sería algo bueno, pero podría crear problemas para cualquier empresa cuyos datos estén encriptados actualmente. No tendrían la opción de pagar a REvil por la clave necesaria para descifrar sus datos”.
Liska también señaló que la propiedad del sitio de REvil aún no ha cambiado, lo que hace que la posibilidad de una incautación de dominio sea menos probable. También dijo: " esto podría sugerir que se trata de derribos autodirigidos (demasiado pronto para saberlo)".
Hasta ahora, los portavoces del Consejo de Seguridad Nacional de la Casa Blanca y el Comando Cibernético aún no han comentado sobre la última desaparición de REvil. Incluso si el gobierno de EE. UU. estuvo detrás de la desaparición de REvil, hay otros grupos de ransomware que todavía están activos, lo que genera preocupaciones de seguridad en todo el mundo.