Znany rosyjski gang ransomware „REvil” powraca, podnosząc obawy dotyczące bezpieczeństwa

Ciemne portale internetowe, którymi kiedyś zarządzał gang ransomware REvil, powróciły dzisiaj do sieci, budząc obawy, że słynny gang ransomware wkrótce wznowi swoje ataki.

Podczas święta 4 lipca w Stanach Zjednoczonych grupa wyłączyła swoją infrastrukturę sieciową po masowym ataku oprogramowania ransomware na serwery Kaseya. Były to te same incydenty, które zwróciły uwagę urzędników Białego Domu.

Jednak zarówno władze amerykańskie, jak i rosyjskie zaprzeczyły jakiemukolwiek udziałowi w tajemniczym zniknięciu tego rosyjskojęzycznego gangu ransomware.

W tym czasie wygląda na to, że grupa została rozwiązana i planowała przeprowadzić nowy atak ransomware na różnych amerykańskich śledczych i firmy ochroniarskie.

Wkrótce po wzroście liczby ataków ransomware w Stanach Zjednoczonych Joe Biden (prezydent USA) przejął inicjatywę i był gospodarzem spotkania na temat cyberbezpieczeństwa z różnymi prezesami gigantów technologicznych. Celem tego spotkania było omówienie sposobu, w jaki firmy zapewniają cyberbezpieczeństwo po ostatnich falach ataków ransomware i naruszeń bezpieczeństwa.

Zgodnie z tweetami w mediach społecznościowych przez różnych badaczy bezpieczeństwa, wiele stron internetowych, w tym Happy Blog, bezpośrednio połączony z REvil, pojawiło się ponownie.

Według tweeta redaktora naczelnego piszczącego komputera, najnowszy wpis pochodzi od ofiary zaatakowanej 8 lipca.

Według eksperta od ransomware Allana Liski powrót REvil był nieunikniony, ale tym razem pod inną nazwą i nowym wariantem oprogramowania ransomware.

Przez jakiś czas na pewno zrobiło się im gorąco, więc musieli pozwolić organom ścigania ostygnąć. Problem (dla nich) polega na tym, że jeśli to naprawdę ta sama grupa, korzystając z tej samej infrastruktury, nie kupili sobie żadnej odległości od organów ścigania lub badaczy, co postawi ich z powrotem na celowniku dosłownie każdego prawa grupa egzekucyjna na świecie (z wyjątkiem rosyjskiej). Dodam również, że sprawdziłem wszystkie zwykłe repozytoria kodu, takie jak VirusTotal i Malware Bazaar, i nie widziałem jeszcze żadnych opublikowanych nowych próbek. Tak więc, jeśli przeprowadzili jakiekolwiek nowe ataki ransomware, nie było ich zbyt wiele.

Jako analityk zagrożeń Emisoft, Brett Callow powiedział, że REvil zaatakował w tym roku co najmniej 360 amerykańskich organizacji.

Kilka ofiar REvil znalazło się w trudnej sytuacji, nawet po zamknięciu grupy w lipcu. Na przykład Mike Hamilton, były CISO z Seattle, a teraz CISO firmy zajmującej się naprawą oprogramowania ransomware Critical Insight, powiedział, że jedna firma zapłaciła okup po ataku Kaseya i otrzymała klucze deszyfrujące od REvil, ale stwierdziła, że ​​nie działają.

Niektórym z naszych klientów udało się naprawdę łatwo. Jeśli miałeś tego agenta zainstalowanego na nieważnych komputerach, po prostu je przebudowałeś i wróciłeś do życia. Ale kilka dni temu otrzymaliśmy wezwanie pomocy od firmy, która mocno ucierpiała, ponieważ miała firmę zarządzającą wieloma swoimi serwerami za pomocą Kaseya VSA. Otrzymali wiele trafień na ich serwery i mieli wiele informacji na ich temat, więc sprowadzili swoją firmę ubezpieczeniową i postanowili zapłacić okup".

Według raportu opublikowanego przez firmę zajmującą się bezpieczeństwem BlackFog, ze wszystkich ataków ransomware w sierpniu, REvil odpowiadał za ponad 23% ataków śledzonych w zeszłym miesiącu. To było więcej niż jakakolwiek inna grupa odnotowana w raporcie.