| REvil | |
|---|---|
| Organisaation tyyppi | Hakkerointi |
REvil ( Ransomware Evil , joka tunnetaan myös nimellä Sodinokibi ) on järjestäytynyt kyberrikollisten ryhmä (joukko), joka tarjoaa kiristysohjelmapalveluita [1] . Jos lunnaat kieltäytyivät maksamasta , REvil julkaisi uhrin luottamukselliset tiedot Happy Blog -sivullaan . Ryhmän kotipaikka oli Venäjällä [2] , ja se likvidoitiin FSB : n erityisoperaation aikana tammikuussa 2022 [3] .
REvilä pidetään yhtenä maailman aktiivisimmista kyberjengeistä [4] [5] . Jotkut REvilin hyökkäyksistä ovat saaneet laajaa julkisuutta.
OmenaApplen REvil-hyökkäys sai mainetta , jonka aikana yrityksen tulevien tuotteiden suunnitelmat varastettiin.
Texasin hallitusREvil on yhdistetty vuonna 2019 tehtyyn hyökkäykseen kymmeniä Texasin paikallishallintoa vastaan [6] .
JBS SAFBI : n mukaan REvil on maailman suurinta lihantoimittajaa JBS:ää vastaan tehdyn hyökkäyksen takana [7] .
Kaseya2. heinäkuuta 2021 REvil hyökkäsi amerikkalaisen IT-yrityksen Kaseya, yritysohjelmistojen toimittajan kimppuun, minkä jälkeen hyökkäys levisi verkoissa Kaseyan asiakkaille [a] . Noin 200 Kaseyan [b] [c] asiakasta joutui hyökkäyksen uhreiksi . IT-turvayhtiö Huntress Labs kutsui hyökkäystä valtavaksi. Hakkerit väittävät saaneensa pääsyn miljoonaan tietokonejärjestelmään maailmanlaajuisesti Kaseya-hyökkäyksen seurauksena ja vaativat uhreilta 70 miljoonaa dollaria bitcoineja vastineeksi "yleisestä salauksenpurkuohjelmasta", jonka he sanovat voivan avata kaikki tiedostot uudelleen [9 ] . Liittovaltion kyberturvallisuusvirasto käynnisti tapauksen tutkinnan [6] .
BBC News huomauttaa, että hyökkäys Kaseyaan tapahtui pian Venäjän ja Yhdysvaltojen presidenttien huippukokouksen jälkeen , jossa keskusteltiin muun muassa kyberturvallisuuskysymyksistä [6] .
Tarkkailijat ovat havainneet REvilin menetelmien samankaltaisuuden kuin DarkSide , toinen hakkerointirikollisryhmä, jolla on yhteyksiä Venäjään. Esimerkiksi DarkSiden käyttämä kiristysohjelmakoodi muistuttaa REvilin käyttämää, mikä viittaa siihen, että DarkSide on joko REvilin haarukka tai kumppani [10] [11] . Lisäksi sekä DarkSide että REvil käyttävät samalla tavalla laadittuja lunnaita koskevia vaatimuksia ja samaa koodia, joka tarkistaa, ettei uhri ole IVY -maassa [12] .
Syynä amerikkalaisten asiantuntijoiden lausuntoihin REvil-ryhmän kuulumisesta ja yhteydestä Venäjään ja Venäjän erikoispalveluihin olivat "luonnollisia elementtejä salakoodissa ja venäjänkielisessä kirjeenvaihdossa" [13] . National Technology Initiativen SafeNetin suunnittelukeskuksen asiantuntija Igor Bederov uskoo, että rikolliset voivat tarkoituksella käyttää vieraita kieliä salatakseen kansallisuutensa, esimerkiksi huumekauppiaiden ja ihmiskauppiaiden ryhmät puhuivat ja kirjeenvaihtoivat vain englanniksi [14] [15] .
Positive Technologies -asiantuntijat huomauttavat, että hakkerihyökkäysten määrä maailmassa kasvoi 0,3 % vuoden 2021 toisella puoliskolla [16] [17] , venäläisiä yrityksiä vastaan tehtyjen hyökkäysten määrä kolminkertaistui [18] [19]
Kuten tammikuussa 2022 kävi ilmi, ryhmä todellakin sijaitsi Venäjällä [20] .
13. heinäkuuta 2021 pimeän verkon REvil-sivustot lopettivat vastaamisen hakukyselyihin. Jotkut yhdysvaltalaiset asiantuntijat ovat ehdottaneet, että REvilin äkillinen katoaminen darknetistä saattaa johtua Yhdysvaltojen ja Venäjän presidenttien välisestä puhelinkeskustelusta edellisenä päivänä [21] .
Johtavat ulkomaiset julkaisut - New York Times , CNN , BBC , Threatpost, riippumaton kyberturvallisuutta koskevien uutisten ja analyyttisten materiaalien lähde ja muut - liittivät tämän toimenpiteen mahdolliseen ryhmän estämiseen Yhdysvaltain tiedustelupalvelujen toimesta, toiminnan rajoittamiseen Venäjän tiedustelupalvelut tai hakkerit yksinkertaisesti "menivät varjoihin", joiden vuoksi asiantuntijat, mukaan lukien BreachQuestin teknologiajohtaja Jake Williams (s. Jake Williams), poistuivat verkkotilasta suojautuakseen mahdollisilta pidätyksiltä [22 ] .
14. tammikuuta 2022 FSB :n ja Venäjän sisäministeriön erityisoperaation aikana , joka toteutettiin Yhdysvaltain viranomaisten pyynnöstä, ryhmän toiminta lopetettiin. Pidätys tapahtui Moskovan , Pietarin , Moskovan , Leningradin ja Lipetskin alueilla [20] . Hakkerit takavarikoivat 426 miljoonaa ruplaa, 500 tuhatta euroa, 600 tuhatta dollaria, 20 premium-autoa [3] [23] [5] .
Trustwave asiantuntijat huomauttivat, että vuonna 2021 alkaneet levottomuudet hakkereiden keskuudessa kiihtyivät REvilin pidätyksen jälkeen. Foorumin osallistujat alkoivat vaihtaa lukuisia vinkkejä siitä, miten suojella itseään, jos Venäjän lainvalvontaviranomaiset jatkavat aktiivista tietoverkkorikollisuuden torjuntaa. Monet kritisoivat REvilin toimintaa räikeästä kehumisesta sen saavutuksista ja hyökkäyksistä usean miljardin dollarin yrityksiin, jotka sijaitsevat maissa, jotka voisivat pakottaa Venäjän hallituksen toimiin [24] .
Tietoturvayhtiö ReversingLabsin mukaan ryhmän väitettyjen jäsenten pidätysten jälkeen uusien tartuntojen määrä päivässä nousi 24:stä (169 viikossa) 26:een (180 viikossa). Tämä luku on paljon korkeampi verrattuna vuoden 2021 syyskuuhun (43 tartuntaa päivässä - 307 viikossa) ja lokakuuhun (22 tartuntaa päivässä - 150 viikossa), jolloin REvil yhtäkkiä poistui verkkoyhteydestä, mutta huomattavasti pienempi verrattuna heinäkuuhun (87 tartuntaa päivässä). - 608 viikossa) [25] .
19. huhtikuuta kyberturvallisuusasiantuntijat pancak3 ja Soufiane Tahiri huomasivat ensimmäisenä REvil-sivustojen toiminnan. Tosiasia on, että uutta "vuotojen sivustoa" REvilia alettiin mainostaa venäjänkielisen foorumi-markkinapaikan RuTOR kautta (jota ei pidä sekoittaa samannimiseen torrent-seurantaohjelmaan). Uutta sivustoa isännöidään eri verkkotunnuksessa, mutta se on linkitetty alkuperäiseen REvil-sivustoon, joka oli käytössä ryhmän ollessa vielä aktiivinen. Sivuston 26 sivulla luetellaan myös kiristysohjelmista kärsineet yritykset, joista suurin osa on REvilin vanhoja uhreja. Vain kaksi viimeistä hyökkäystä näyttävät liittyvän uuteen kampanjaan, ja yksi uhreista on öljy- ja kaasuyhtiö Oil India. [26]