| REvil | |
|---|---|
| Typ organizace | Hackování |
REvil ( Ransomware Evil , také známý jako Sodinokibi ) je organizovaná skupina (gang) kyberzločinců , kteří poskytují služby ransomwaru [1] . V případě odmítnutí zaplatit výkupné zveřejnil REvil důvěrné informace oběti na své stránce s názvem Happy Blog . Skupina sídlila v Rusku [2] a byla zlikvidována během speciální operace FSB v lednu 2022 [3] .
REvil je považován za jeden z nejaktivnějších kybernetických gangů na světě [4] [5] . Některé z útoků REvilu získaly širokou publicitu.
JablkoZnámý byl útok REvil na Apple , během kterého byly ukradeny plány budoucích produktů společnosti.
Texaská vládaREvil byl spojován s útokem na desítky místních vlád v Texasu v roce 2019 [6] .
JBS SAPodle FBI stojí REvil za útokem na JBS , největšího světového dodavatele masa [7] .
KaseyaDne 2. července 2021 REvil napadl americkou IT společnost Kaseya, poskytovatele podnikového softwaru, načež se útok rozšířil po sítích na zákazníky Kaseya [a] . Obětí útoku se stalo asi 200 klientů Kaseya [b] [c] . Huntress Labs, společnost zabývající se IT bezpečností, označila útok za kolosální. Hackeři tvrdí, že v důsledku útoku Kaseya získali přístup k milionu počítačových systémů po celém světě a požadují od obětí 70 milionů dolarů v bitcoinech výměnou za „univerzální dešifrovač“, který podle nich dokáže znovu otevřít všechny soubory [9 ] . Federální agentura pro kybernetickou bezpečnost zahájila vyšetřování incidentu [6] .
BBC News podotýká, že k útoku na Kaseyu došlo krátce po summitu prezidentů Ruska a Spojených států, na kterém se diskutovalo mimo jiné o otázkách kybernetické bezpečnosti [6] .
Pozorovatelé zaznamenali podobnost metod REvil s DarkSide , další hackerskou zločineckou skupinou s vazbami na Rusko. Například kód ransomwaru používaný DarkSide se podobá kódu používanému REvilem, což naznačuje, že DarkSide je buď fork nebo partner REvil [10] [11] . DarkSide i REvil navíc používají podobně koncipované požadavky na výkupné a stejný kód, který kontroluje, zda se oběť nenachází v zemi SNS [12] .
Důvodem výroků amerických expertů o příslušnosti a spojení skupiny REvil s Ruskem a ruskými speciálními službami byly „charakteristické prvky v šifrovém kódu a korespondence v ruštině“ [13] . Igor Bederov, expert z inženýrského centra SafeNet Národní technologické iniciativy , se domnívá, že zločinci mohou záměrně používat cizí jazyky, aby skryli svou národnost, například skupiny drogových dealerů a obchodníků s lidmi mluvily a dopisovaly si pouze anglicky [14]. [15] .
Specialisté Positive Technologies poznamenávají, že počet hackerských útoků ve světě vzrostl v druhé polovině roku 2021 o 0,3 % [16] [17] , počet útoků na ruské společnosti se ztrojnásobil [18] [19]
Jak se ukázalo v lednu 2022, skupina skutečně sídlila v Rusku [20] .
13. července 2021 přestaly weby REvil na temném webu reagovat na vyhledávací dotazy. Někteří experti v USA navrhli, že náhlé zmizení REvilu z darknetu může být způsobeno telefonickým rozhovorem mezi prezidenty USA a Ruska den předtím [21] .
Přední zahraniční publikace - New York Times , CNN , BBC , Threatpost, nezávislý zdroj zpráv a analytických materiálů o kybernetické bezpečnosti a další - spojovaly tuto akci s možným zablokováním skupiny americkými zpravodajskými službami, omezením činnosti na příkaz Ruské zpravodajské služby nebo hackeři prostě „šli do stínu“, pro které opustili síťový prostor, aby se ochránili před případným zatčením, podle odborníků, včetně ředitele technologie BreachQuest Jakea Williamse (rozeného Jakea Williamse) [22 ] .
14. ledna 2022, během speciální operace FSB a ruského ministerstva vnitra , provedené na žádost amerických úřadů, byla činnost skupiny zastavena. K zadržení došlo na území Moskevské , Petrohradské , Moskevské , Leningradské a Lipecké oblasti [20] . Hackeři se zmocnili 426 milionů rublů, 500 tisíc eur, 600 tisíc dolarů, 20 prémiových vozů [3] [23] [5] .
Experti Trustwave poznamenali, že nepokoje mezi hackery, které začaly v roce 2021, po zatčení REvila zesílily. Účastníci fóra si začali vyměňovat četné tipy, jak se chránit, pokud ruské orgány činné v trestním řízení budou i nadále aktivně bojovat proti počítačové kriminalitě. Mnozí kritizovali činy REvilu za okázalé vychloubání se svými úspěchy a útoky na multimiliardové korporace v zemích, které by mohly přinutit ruskou vládu k akci [24] .
Podle společnosti ReversingLabs pro informační bezpečnost se po zatčení údajných členů skupiny počet nových infekcí za den zvýšil z 24 (169 za týden) na 26 (180 za týden). Toto číslo je mnohem vyšší ve srovnání se zářím (43 infekcí za den – 307 za týden) a říjnem (22 infekcí za den – 150 za týden), 2021, kdy REvil náhle přešel do režimu offline, ale výrazně nižší ve srovnání s červencem (87 infekcí za den - 608 za týden) [25] .
19. dubna si specialisté na kybernetickou bezpečnost pancak3 a Soufiane Tahiri jako první všimli aktivity stránek REvil. Faktem je, že nová „stránka pro úniky“ REvil začala být inzerována prostřednictvím ruskojazyčného fóra-tržiště RuTOR (nezaměňovat se stejnojmenným torrent trackerem). Nový web je hostován na jiné doméně, ale je propojen s původním webem REvil, který se používal, když byla skupina stále aktivní. Na 26 stránkách webu jsou také uvedeny společnosti, které utrpěly ransomwarem, z nichž většina jsou staré oběti REvilu. Zdá se, že pouze poslední dva útoky souvisejí s novou kampaní a jednou z obětí je ropná a plynárenská společnost Oil India. [26]