REvil – Rysktalande Ransomware-gäng försvinner

Det ökända rysktalande ransomware-gänget, REvil, har på mystiskt sätt försvunnit från internet efter att ha utfört högprofilerade attacker mot hundratals företag världen över.

Det är fortfarande oklart varför gruppen har gått offline, tillsammans med dess blogg och betalningswebbplatser. Men dess plötsliga försvinnande bara några dagar efter president Bidens uttalande väcker frågor om huruvida de amerikanska myndigheterna hade något med saken att göra.

Vem är REvil?

REvil (Ransomware Evil eller på annat sätt känt som Sobinokibi) är ett rysktalande gäng. De har riktat in sig på tusentals högprofilerade företag över hela världen. De skulle hota att släppa informationen på sin Happy Blog om inte målen betalade lösensumman.

Ingen har kunnat peka ut var de befinner sig, men det tros vara baserat i Ryssland eftersom gänget inte riktar sig till ryska företag eller regionerna i det forna sovjetblocket.

Tidigare har de brittiska och amerikanska myndigheterna också anklagat virtuella privata nätverk (VPN)för att rikta in sig på organisationer över hela världen och dölja deras digitala fotspår. Den ryska ambassaden i USA förnekade dock anklagelserna.

REvil mål

I maj 2020 stal REvil nästan en terabyte konfidentiell information från advokatbyrån Grubman Shire Meiselas & Sacks, som påstod sig ha "smutstvätt" på president Trump. Gänget hotade att släppa data online om lösensumman på 42 miljoner dollar inte betalades. Gänget sa:

"Nästa person vi kommer att publicera är Donald Trump. Det pågår ett vallopp och vi hittade massor av smutstvätt i tid. Herr Trump, om du vill stanna president, stick en vass käpp på killarna, annars kan du glömma denna ambition för alltid."

I mars 2021 attackerade REvil Harris Federation som ett resultat, organisationens IT-system stängdes ner i veckor, vilket påverkade tusentals användare.

I april 2021 riktade REvil sig mot Apple och stal planer för kommande Apple-produkter, inklusive Apple Watch, bärbara datorer och mer. Gänget krävde 50 miljoner dollar för information. Efter attacken skrev de på sin Happy Blog där de sa:

"För att inte vänta på den kommande Apple-presentationen kommer vi idag, REvil-gruppen, att tillhandahålla data om de kommande utgåvorna av företaget som är så älskat av många. Tim Cook kan säga tack Quanta.”

I maj 2021 attackerades JBS SA, ett Brasilien-baserat köttbearbetningsföretag, vilket inaktiverade dess slakterier. Strax efter några dagar efter attacken meddelade Vita huset att REvil kan ligga bakom attacken. JBS betalade en lösen på 11 miljoner dollar till REvil i Bitcoin.

Det senaste målet för REvil var Kaseya, en amerikansk teknikleverantör. Den 2 juli 2021 riktade REvil sig mot Kaseya-system och krävde 70 miljoner dollar i lösen för att återställa deras data. Som en följd av attacken fick Swedish Coop, en livsmedelsbutikskedja, stänga nästan 800 butiker under flera dagar.

Detta var en av de största ransomware-attackerna i historien. Attacken drabbade tusentals småföretag över hela världen. Efter US Cybersecurity and Infrastructure Security Agency ombads alla användare att stänga av VSA-servrar omedelbart.

Attacken var perfekt tajmad, på fredagen, innan den långa semestern i USA, för att sprida den så snabbt som möjligt utan att bli upptäckt.

Biden vidtar åtgärder mot REvil

Efter attacken beslutade president Joe Biden att vidta åtgärder och uppmanade de amerikanska underrättelsetjänsterna att undersöka gruppen bakom attacken som drabbade hundratals amerikanska företag.

Den 10 juli ringde Biden upp president Vladimir Putin och sa att han måste "agera". Biden sa vidare:

"Jag gjorde det väldigt tydligt för honom att USA förväntar sig att när en ransomware-operation kommer från hans mark, även om den inte sponsras av staten, förväntar vi oss att de agerar om vi ger dem tillräckligt med information för att agera om vem det är."

På frågan om det skulle få konsekvenser log Biden och sa: "Ja." Han sa också att USA kommer att vidta åtgärder och ta ner REvil-gruppens servrar om Moskva inte agerar.

REvil-gängets försvinnande

REvils webbplatser, bloggar och "all deras infrastruktur" har blivit mörkt, säger Allen Liska, en underrättelseanalytiker från Recorded Future. Liska sa också att REvils offentliga talesman även kallad "Okänd", " inte har varit aktiv på anslagstavlor sedan i torsdags", och att sajten inte har svarat ett tag nu.

Det är fortfarande oklart varför gruppen plötsligt har försvunnit från internet eller om försvinnandet bara är tillfälligt eller permanent.

De senaste förändringarna har väckt spekulationer om huruvida flytten var REvils eget beslut att upphöra med verksamheten som det tidigare ryska cyberbrottsgänget DarkSide, eller om det var ett resultat av USA:s regeringsledda åtgärder.

John Hultquist, från Mandiant Threat Intelligence, sa:

"Situationen utvecklas fortfarande, men bevis tyder på att REvil har drabbats av en planerad, samtidig nedtagning av sin infrastruktur, antingen av operatörerna själva eller via industri- eller brottsbekämpande åtgärder… Om det var en störningsoperation av något slag, kanske fullständiga detaljer aldrig kommer att komma att tända."

Detta är uppenbarligen en bra sak, men inte för alla målföretag som Brett Callow från Emsisoft påpekar :

"Om brottsbekämpning har lyckats störa gängets verksamhet skulle det självklart vara bra men det kan skapa problem för alla företag vars data för närvarande är krypterad. De skulle inte ha möjlighet att betala REvil för nyckeln som behövs för att dekryptera deras data.”

Liska noterade också att REvils webbplatsägande inte har ändrats ännu, vilket gör möjligheten för ett domänbeslag mindre sannolik. Han sa också: " Detta kan tyda på att det här är självstyrda nedtagningar (för tidigt att säga)."

Hittills har talespersoner för Vita husets nationella säkerhetsråd och Cyber ​​Command ännu inte kommenterat den senaste REvils försvinnande. Även om den amerikanska regeringen låg bakom REvils försvinnande, finns det andra ransomware-grupper som fortfarande är aktiva – vilket väcker säkerhetsproblem över hela världen.