REvil се завърнаха на престъпната сцена

В началото на това лято американската софтуерна компания Kaseya пострада от мащабна хакерска атака. Вектор на тази атака беше линията за доставки на Kaseya, компания, доставяща сервизен софтуер за отдалечено обслужване на компютърни системи, а клиентите ѝ включват MSP (managed service providers) и малки бизнеси. За щастие, от Kaseya са реагирали своевременно и щетите за техните клиенти не се оказаха толкова катастрофални, колкото можеше да са, но десетки системи паднаха жертва на рансъмуер, идващ от известната хакерска група на REvil.

Нанасяйки щети години наред необезпокоявано, RaaS ((ransomware-as-a-service) бандата май „настъпи“ не когото трябва. Така поне изглеждаше, когато стана ясно, че REvil са изчезнали от даркуеб пространството. Новината за това дойде след проведен разговор лично между президентите на САЩ и на руската федерация Джоузеф Байдън и Владимир Путин относно REvil и безконтролните им практики. Оказва се обаче, че REvil не са приключили съществуването си.

Това стана ясно, след като Bleeping Computer, Emsisoft, Recorded Future и други предадоха, че сайта на REvil, Happy Blog, заедно с другите им страници в ъндърграунд онлайн пространството са се върнали, като още на осми юли са имали нова жертва. ZDNet цитират рансъмуер екперта Адам Лиска, който споделя, че той и колегите му от защитната индустрия са очаквали REvil да се завърнат, но с ново име и различна зловредна програма.

„Нещата наистина станаха напечени за тях за известно време, така че е трябвало да се оттеглят за кратко. Проблемът за тях обаче е, че ако става дума за същата група, използваща същата инфраструктура, то те реално не се дистанцират от службите и изследователите, което ще ги върне в центъра на усилията на буквално всяка правоохранителна структура в света (освен тези на Русия), обяснява Лиска.

REvil наистина не мислят да остават извън полезрението, като според BlackFrog, атаките чрез кода им е виновен за 23% от всички рансъмуер атаки за август. Нужно е да се спомене, че REvil работят по бизнес модела „рансъмуер, като услуга“ (ransomware-as-a-service, RaaS), при който създателите на програмата и сървърната инфраструктура ги предоставят на киберпрестъпници за ползване срещу дял от откупа, който получават за атаките си и в този смисъл, тези 23% може би не трябва да звучат толкова стряскащо. От началото на годината, цитира ZDNet RansomWhere, REvil са заработили над $11 милиона, атакувайки поне 360 организации, базирани в САЩ. Между тях личат имената на високопрофилни жертви от ранга на Acer, JBS, Quanta Computer и други.

По отношение на случая с Kaseya и други жертви на хакерите, изчезването на REvil предизвика суматоха, породена от факта, че те могат никога да не получат достъп до заключените си файлове с оглед на това, че няма кой да им го предостави, даже и да си платят. В края на юли разбрахме, че Kaseya всъщност са се сдобили с универсален декриптиращ ключ.