РЕвил
| Формирование | 2019 |
|---|---|
| Тип | Взлом |
| Принадлежности | Содинокиби, ГандКраб |
REvil ( Ransomware Evil ; также известный как Sodinokibi ) — российская программа. [1] или русскоязычный [2] работа частных программ-вымогателей как услуга (RaaS). [3] После атаки REvil пригрозила опубликовать информацию на своей странице Happy Blog, если выкуп не будет получен. В ходе громкого дела REvil атаковала поставщика технологического гиганта Apple и украла конфиденциальные схемы их будущих продуктов. России В январе 2022 года Федеральная служба безопасности заявила, что распустила REvil и предъявила обвинения нескольким ее членам.
История
[ редактировать ]REvil нанимает филиалов для распространения для них программ-вымогателей . В рамках этого соглашения филиалы и разработчики программ-вымогателей делят доходы, полученные от выплат выкупа. [4] Трудно определить их точное местонахождение, но предполагается, что они базируются в России, поскольку группировка не нацелена на российские организации или организации в странах бывшего советского блока . [5]
Код программы-вымогателя, используемый REvil, напоминает код, используемый DarkSide , другой хакерской группой; Код REvil недоступен публично, что позволяет предположить, что DarkSide является ответвлением REvil. [6] или партнер REvil. [7] REvil и DarkSide используют записки о выкупе с одинаковой структурой и один и тот же код, чтобы проверить, что жертва не находится в стране Содружества Независимых Государств (СНГ). [8]
Эксперты по кибербезопасности полагают, что REvil — это ответвление пресловутой, но ныне несуществующей хакерской банды GandCrab. [9] Это подозревается в связи с тем, что REvil впервые стал активным сразу после закрытия GandCrab, и что обе программы-вымогатели используют значительный объем кода.
2020
[ редактировать ]Может
[ редактировать ]В рамках деятельности преступной кибергруппировки они известны тем, что похитили около одного терабайта информации у юридической фирмы Grubman Shire Meiselas & Sacks и потребовали выкуп за ее неопубликование. [10] [11] [12] Группа также пыталась вымогать деньги у других компаний и общественных деятелей.
В мае 2020 года они потребовали от президента США Дональда Трампа 42 миллиона долларов . [13] [14] Группа утверждала, что сделала это путем расшифровки криптографии с эллиптической кривой , которую фирма использовала для защиты своих данных. [15] Согласно интервью предполагаемого участника, они нашли покупателя на информацию Трампа, но подтвердить это невозможно. [16] В том же интервью участник заявил, что в 2020 году они принесут выкуп в размере 100 миллионов долларов .
16 мая 2020 года группа опубликовала юридические документы общим размером 2,4 ГБ, связанные с певицей Леди Гагой . [17] На следующий день они опубликовали 169 «безобидных» электронных писем, в которых упоминался Дональд Трамп или содержалось слово «трамп». [11]
Они планировали продать Мадонны . информацию [18] но в конце концов отказался. [19]
2021
[ редактировать ]Маршировать
[ редактировать ]27 марта 2021 года REvil атаковала Harris Federation и опубликовала в своем блоге несколько финансовых документов федерации. В результате ИТ-системы федерации были отключены на несколько недель, от чего пострадало до 37 000 студентов. [20]
18 марта 2021 года филиал REvil заявил на своем сайте утечки данных, что они загрузили данные из многонациональной по производству оборудования и электроники корпорации Acer , а также установили программу-вымогатель, которая была связана с взломом данных Microsoft Exchange Server 2021 года фирмой кибербезопасности Advanced Intel. , который обнаружил первые признаки нападения на серверы Acer с 5 марта 2021 года. За расшифровку нераскрытого количества систем и за удаление загруженных файлов потребовали выкуп в размере 50 миллионов долларов США, который увеличится до 100 миллионов долларов США, если не будет выплачен до 28 марта 2021 года. . [21]
апрель
[ редактировать ]планы на будущие продукты Apple В апреле 2021 года REvil украл у Quanta Computer , включая предполагаемые планы на ноутбуки Apple и Apple Watch. REvil пригрозил опубликовать планы публично, если они не получат 50 миллионов долларов. [22] [23]
Может
[ редактировать ]30 мая 2021 года компания JBS SA подверглась атаке программы-вымогателя, которая привела к временной остановке всех заводов компании по производству говядины в США и нарушила работу птицефабрик и заводов по производству свинины. Спустя несколько дней Белый дом заявил, что ответственность за кибератаку JBS SA может нести REvil . ФБР подтвердило эту связь в последующем заявлении в Twitter . [24] выкуп в размере 11 миллионов долларов в биткойнах JBS заплатила REvil .
Июнь
[ редактировать ]11 июня 2021 года Invenergy сообщила, что подверглась атаке программы-вымогателя. Позже REvil взяла на себя ответственность. [25]
Июль
[ редактировать ]2 июля 2021 года сотни поставщиков управляемых услуг заразили свои системы программой-вымогателем REvil через программное обеспечение для управления настольными компьютерами Kaseya. [26] REvil потребовала 70 миллионов долларов за восстановление зашифрованных данных. [27] В результате сеть продуктовых магазинов Шведская Coop была вынуждена в течение нескольких дней закрыть 800 магазинов. [28] [29]
7 июля 2021 года компания REvil взломала компьютеры базирующегося во Флориде подрядчика по космическим технологиям и технологиям запуска оружия HX5, которого есть армия , флот , военно-воздушные силы и НАСА среди клиентов , и публично опубликовала украденные документы в своем блоге Happy. The New York Times сочла эти документы не имеющими «жизненно важного значения». [30]
После телефонного разговора 9 июля между президентом США Джо Байденом и президентом России Владимиром Путиным Байден заявил прессе: «Я очень ясно дал ему понять, что Соединенные Штаты ожидают, когда с его территории начнется операция по вымогательству, даже если она не спонсируется. со стороны государства, мы ожидаем, что они будут действовать, если мы предоставим им достаточно информации, чтобы действовать в отношении того, кто это такой». Позже Байден добавил, что Соединенные Штаты отключат серверы группы, если Путин этого не сделает. [31] [32]
13 июля 2021 года веб-сайты REvil и другая инфраструктура исчезли из Интернета. [33] Politico процитировал неназванного высокопоставленного чиновника администрации, заявившего, что «мы точно не знаем, почему они [REvil] отступили»; Чиновник также не исключил возможности того, что Россия закрыла группу или заставила ее закрыться. [34]
23 июля 2021 года Kaseya объявила, что получила ключ дешифрования файлов, зашифрованных в результате атаки программы-вымогателя Kaseya VSA 2 июля , от неназванной «доверенной третьей стороны», которая, как позже выяснилось, была ФБР, которая скрывала ключ в течение трех недель, и помогал жертвам восстановить свои файлы. [35] Ключ был скрыт, чтобы не сообщить REvil о попытке ФБР вывести из строя их серверы, что в конечном итоге оказалось ненужным после того, как хакеры без вмешательства отключились от сети. [36]
Сентябрь
[ редактировать ]В сентябре 2021 года румынская фирма по кибербезопасности Bitdefender опубликовала бесплатную универсальную утилиту дешифрования, которая поможет жертвам программы-вымогателя REvil/Sodinokibi восстановить свои зашифрованные файлы, если они были зашифрованы до 13 июля 2021 года. [37] С сентября до начала ноября декриптор использовался более чем 1400 компаниями, чтобы избежать выплаты выкупа на сумму более 550 миллионов долларов и позволить им восстановить свои файлы. [38]
22 сентября 2021 года исследователи вредоносного ПО обнаружили бэкдор, встроенный в вредоносное ПО REvil, который позволял первоначальным членам банды вести двойные чаты и обманывать своих партнеров, получая от них любые платежи за программы-вымогатели. [39] Сообщается, что филиалы программ-вымогателей, которые были обмануты, разместили свои претензии в «Хакерском суде», что подорвало доверие филиалов к REvil. Сообщается, что в новых версиях вредоносного ПО REvil бэкдор был удален. [40]
Октябрь
[ редактировать ]21 октября 2021 года серверы REvil были взломаны в ходе операции, проведенной в нескольких странах, и были отключены от сети. Глава отдела стратегии кибербезопасности VMWare заявил: «ФБР совместно с Киберкомандованием , Секретной службой и странами-единомышленниками действительно предприняло значительные подрывные действия против этих групп». Член банды REvil попытался восстановить свои серверы с резервные копии, которые также были скомпрометированы. [41]
Расследования и уголовные обвинения
[ редактировать ]В рамках операции GoldDust с участием 17 стран, Европола , Евроюста и Интерпола правоохранительные органы арестовали пять человек, связанных с Sodinokibi/REvil, и двух подозреваемых, связанных с программой-вымогателем GandCrab. Они предположительно несут ответственность за 5000 заражений и получили полмиллиона евро в виде платежей за программы-вымогатели. [42]
8 ноября 2021 года Министерство юстиции США обнародовало обвинительные заключения против гражданина Украины Ярослава Васинского и гражданина России Евгения Полянина. Васинскому было предъявлено обвинение в проведении атак с использованием программ-вымогателей против нескольких жертв, включая Касею, и он был арестован в Польше 8 октября. Полянину было предъявлено обвинение в проведении атак с использованием программ-вымогателей против нескольких жертв, включая техасские предприятия и государственные учреждения. Департамент сотрудничал с Национальной полицией Украины для рассмотрения обвинений, а также объявил об аресте 6,1 миллиона долларов США, связанных с выплатами с помощью программ-вымогателей. Если Васинского признают виновным по всем пунктам обвинения, ему грозит максимальное наказание в виде 115 лет лишения свободы, а Полянину - 145 лет лишения свободы. [43]
России В январе 2022 года Федеральная служба безопасности заявила, что распустила REvil и предъявила обвинения нескольким ее членам после того, как США предоставили информацию. [44]
Пушистый
[ редактировать ]Существует хакерская группа под названием Fluffy со штаб-квартирой в Коррезе, известная как связанная с REvil, которая в основном использует тайпсквоттинг , киберсквоттинг и вброс ключевых слов . Эта хакерская группа распространила программы-вымогатели Magniber, Sodinokibi и GandCrab, BlueCrab (это следующая версия GandCrab, тот же вариант, который использовался в атаке программы-вымогателя Kaseya VSA). [45] ). Во Франции он известен как Пушистик. [46] в Германии как Talentfrei, [47] в Австралии и англоязычных странах как «Эмма Хилл», [48] а в Южной Корее как Нэбоми (что по-корейски означает «Цветение четырех сезонов»). Известно, что Пушистик заявил о ряде жертв, особенно в Южной Корее. [49] [50]
Кампания, в которой Пушистик впервые нацелился на Южную Корею, известна как Magniber. [51] и он использовал набор эксплойтов до появления различных модифицированных полезных нагрузок . Методы, используемые этими модифицированными полезными нагрузками, различаются, но их объединяет использование стандартизированных технологий, поддерживаемых веб-браузерами или операционными системами, таких как схема URI и BASE64 , в отличие от наборов эксплойтов, использующих уязвимости нулевого дня . Пользователи получают предупреждения безопасности от своих операционных систем перед выполнением файлов; однако информации, предоставленной злоумышленниками, часто бывает достаточно, чтобы пользователи решили игнорировать предупреждения системы безопасности.
После появления этих измененных полезных нагрузок в Южной Корее Fluffy сразу же назвали себя Nebomi и продолжили атаки с использованием программ-вымогателей. В ноябре 2023 года прокуратура Центрального округа Сеула объявила, что сообщники, помогавшие им в Южной Корее, были привлечены к ответственности. Согласно сообщению, в ходе расследования деятельности подозреваемых также были обнаружены записи о переводе денежных средств в Lazarus Group . [52] Неясно, связано ли это с продолжающимся расследованием по делу о вымогательстве, но, согласно сообщению СМИ в декабре 2023 года, Верховный суд Кореи заявил, что подвергся кибератаке со стороны Lazarus Group, приведшей к утечке конфиденциальных данных. [53]
Предполагается, что Fluffy содействует распространению различных типов программ-вымогателей, от Magniber и REvil до LockBit , используя успешные случаи атак на водопой, которые они осуществили. Например, считается, что они могут быть причастны к таким инцидентам, как успешная кибератака на французский филиал Toshiba в мае 2021 года, предполагаемая кибератака на Doosan Group в августе 2022 года и предполагаемая кибератака на Национальную налоговую службу. Сервис (Южная Корея) в марте 2023 г. [54]
Иногда они использовали относительно простые методы, такие как электронная почта, для распространения программы-вымогателя REvil (также известной как GandCrab). Содержание этих электронных писем обычно включало выдачу себя за правоохранительные органы. Отправителями этих электронных писем были два человека в возрасте до 19 лет, которые заявили, что совершили такие преступления в ответ на предложение, в котором говорилось: «Если вы присоединитесь к рассылке программ-вымогателей, мы поделимся прибылью». На суде, состоявшемся в Центральном районном суде Сеула в августе 2021 года, они были приговорены к 2 годам и 1 году 6 месяцам лишения свободы. Один из них уже получил 10 лет тюремного заключения за участие в другой кампании.
Ссылки
[ редактировать ]- ^ Боуден, Джон (13 июля 2021 г.). «Российская группа программ-вымогателей REvil исчезает после атаки на предприятия в США» . Независимый . Архивировано из оригинала 13 августа 2021 года.
- ^ Коллиер, Кевин (13 июля 2021 г.). «Мощная банда вирусов-вымогателей внезапно исчезает из Интернета. Момент примечательный» . Новости Эн-Би-Си . Архивировано из оригинала 12 ноября 2021 года.
- ^ Фоккер, Джон (2 октября 2019 г.). «McAfee ATR анализирует Sodinokibi, также известную как REvil, программа-вымогатель как услуга — все звезды» . Блоги McAfee . Архивировано из оригинала 11 ноября 2021 г. Проверено 7 октября 2020 г.
- ^ Абрамс, Лоуренс. «Программа-вымогатель Sodinokibi: по следу партнерских денег» . Пипящий компьютер . Архивировано из оригинала 5 июля 2021 г. Проверено 7 октября 2020 г.
- ^ Сааринен, Юха (29 января 2020 г.). «Нельзя останавливаться на атаках REvil с использованием программ-вымогателей как услуги» . это новость .
- ^ СэнгерПерлрот>Дэвид Э. Сэнгер и Николь Перлрот, ФБР идентифицирует группу, стоящую за взломом трубопровода , New York Times (10 мая 2021 г.).
- ^ Чарли Осборн, Исследователи выследили пять филиалов службы вымогателей DarkSide , ZDNet (12 мая 2021 г.).
- ^ Что мы знаем о программе-вымогателе DarkSide и атаке на трубопровод в США , Trend Micro Research (14 мая 2021 г.).
- ^ Виджаян, Джай (25 сентября 2019 г.). «Разработчики GandCrab стоят за разрушительной программой-вымогателем REvil» . ТЕМНОЧтение .
- ^ Чимпану, Каталин. «Группа программ-вымогателей просит 42 миллиона долларов у нью-йоркской юридической фирмы и угрожает слить компромат на Трампа» . ЗДНет . Проверено 17 мая 2020 г.
- ^ Перейти обратно: а б Уиндер, Дэйви. «Хакеры опубликовали первые 169 писем Трампа о «грязном белье» после того, как их заклеймили как кибертеррористов» . Форбс . Проверено 17 мая 2020 г.
- ^ Сайкс, Том (15 мая 2020 г.). « Хакеры REvil удваивают требование выкупа за Аллена Грубмана до 42 миллионов долларов и угрожают сбросить грязь с Дональда Трампа» . Ежедневный зверь . Проверено 17 мая 2020 г.
- ^ «Преступная группа, взломавшая юридическую фирму, угрожает обнародовать документы Трампа» . Новости Эн-Би-Си . 16 мая 2020 г. Проверено 17 мая 2020 г.
- ^ Адлер, Дэн (15 мая 2020 г.). «Что эти хакеры имеют на Трампа и почему Аллен Грубман платит за его подавление?» . Ярмарка тщеславия . Проверено 17 мая 2020 г.
- ^ «Форбс» . Форбс .
- ^ Силс, Тара (29 октября 2020 г.). «REvil Gang обещает большой успех в видеоиграх; Maze Gang закрывается» . пост угрозы .
- ^ Ошеломленный (16 мая 2020 г.). «Хакеры слили в сеть юридические документы Леди Гаги» . Ошеломленный . Проверено 17 мая 2020 г.
- ^ Кобл, Сара (19 мая 2020 г.). «REvil выставит на аукцион украденные данные Мадонны» . Журнал Инфобезопасность . Проверено 17 июля 2020 г.
- ^ Кобл, Сара (23 сентября 2020 г.). «Воры не выставили на аукцион юридические документы Брюса Спрингстина» . Журнал Инфобезопасность . Проверено 10 декабря 2020 г.
- ^ «Факты свидетельствуют о том, что REvil стоит за атакой программы-вымогателя Harris Federation» . ЭТО ПРОФЕССИОНАЛЬНО . 9 апреля 2021 г. Проверено 30 апреля 2021 г.
- ^ Абрамс, Лоуренс (19 марта 2021 г.). «Компьютерный гигант Acer пострадал от атаки программы-вымогателя стоимостью 50 миллионов долларов» . Мигающий компьютер . Проверено 20 марта 2021 г.
- ^ «Хакеры-вымогатели крадут планы будущих продуктов Apple » Хранитель . 22 апреля 2021 г. Проверено 22 апреля 2021 г.
- ^ «Печально известная банда программ-вымогателей утверждает, что украла дизайны продуктов Apple» . Гизмодо . 20 апреля 2021 г. Проверено 22 апреля 2021 г.
- ^ «Заявление ФБР о кибератаке JBS» . Твиттер . 2021-06-02 . Проверено 3 июня 2021 г.
- ^ «Хакерская группа REvil берет на себя ответственность за утечку данных Invenergy» . журнал pv США . 14 июня 2021 г.
- ^ «Важное уведомление, 2 июля 2021 г. – Касея» . 3 июля 2021 г. Архивировано из оригинала 3 июля 2021 г.
- ^ Саттер, Рафаэль (5 июля 2021 г.). «До 1500 предприятий пострадали от атаки программ-вымогателей, - говорит генеральный директор американской фирмы» . Рейтер . Архивировано из оригинала 24 ноября 2021 г. Проверено 5 июля 2021 г.
- ^ Аландер, Йохан; Менн, Джозеф (3 июля 2021 г.). «Крупная атака программы-вымогателя на американского поставщика технологий привела к закрытию шведских магазинов» . Рейтер . Архивировано из оригинала 25 октября 2021 г. Проверено 5 июля 2021 г.
- ^ Лили Хэй Ньюман (04 июля 2021 г.). «Как программа-вымогатель REvil уничтожила тысячи предприятий одновременно» . Проводной . Архивировано из оригинала 10 ноября 2021 г. Проверено 3 декабря 2021 г.
- ^ Сэнгер, Дэвид Э.; Перлрот, Николь (7 июля 2021 г.). «Байден взвешивает ответ на атаки программ-вымогателей» . Нью-Йорк Таймс . Проверено 8 июля 2021 г.
- ^ Миллер, Зик; Такер, Эрик (9 июля 2021 г.). «Байден говорит Путину, что Россия должна бороться с киберпреступниками» . Ассошиэйтед Пресс . Архивировано из оригинала 11 ноября 2021 года.
- ^ Сэнгер, Дэвид Э. (13 июля 2021 г.). «Самая агрессивная в России группа вымогателей исчезла. Непонятно, кто их вывел из строя» . Нью-Йорк Таймс .
- ^ Фунг, Брайан; Коэн, Закари; Сэндс, Женева (13 июля 2021 г.). «Группа программ-вымогателей, атаковавшая поставщика мяса, загадочным образом исчезла из Интернета» . CNN Бизнес . Архивировано из оригинала 27 сентября 2021 года.
- ^ Тооси, Нахаль (20 июля 2021 г.). «Официальный представитель Байдена: «Мы не знаем точно, почему» банда вымогателей исчезла из сети» . ПОЛИТИКА . Проверено 21 июля 2021 г.
- ^ «Ключ программы-вымогателя для разблокировки данных клиентов от атаки REvil» . Новости Би-би-си . Би-би-си . 23 июля 2021 г. . Проверено 23 июля 2021 г.
- ^ Эллен Накишима; Рэйчел Лерман (21 сентября 2021 г.). «ФБР скрыло от предприятий ключ для расшифровки программы-вымогателя, чтобы провести операцию против хакеров» . Вашингтон Пост .
- ^ «Bitdefender предлагает бесплатный универсальный дешифратор для программ-вымогателей REvil/Sodinokibi» . Битдефендер . 16 сентября 2021 года. Архивировано из оригинала 26 ноября 2021 года . Проверено 3 декабря 2021 г.
- ^ Ботезату, Богдан (8 ноября 2021 г.). «Bitdefender и партнерство правоохранительных органов спасают жертв REvil на полмиллиарда от требований выкупа» . Битдефендер . Архивировано из оригинала 11 ноября 2021 года . Проверено 3 декабря 2021 г.
- ^ Ваас, Лиза (22 сентября 2021 г.). «Как REvil могла ограбить своих дочерних компаний» . ThreatPost.com . Архивировано из оригинала 5 октября 2021 года . Проверено 3 декабря 2021 г.
- ^ Ваас, Лиза (23 сентября 2021 г.). «Аффилированные лица REvil подтверждают: руководство обманывало мешков с грязью» . ThreatPost.com . Архивировано из оригинала 8 октября 2021 года . Проверено 3 декабря 2021 г.
- ^ Менн, Джозеф; Бинг, Кристофер (21 октября 2021 г.). «ЭКСКЛЮЗИВНО Правительства меняют ситуацию с бандой-вымогателем REvil, отключив ее» . Рейтер . Архивировано из оригинала 1 декабря 2021 года . Проверено 3 декабря 2021 г.
- ^ «ПЯТЬ ФИЛИАЛОВ СОДИНОКИБИ/REVIL UNPLUGGED» . Европол . 8 ноября 2021 года. Архивировано из оригинала 12 ноября 2021 года . Проверено 12 ноября 2021 г.
- ^ «Украинец арестован и обвинен в атаке с помощью программы-вымогателя на Касею» . Министерство юстиции США . 8 ноября 2021 года. Архивировано из оригинала 11 ноября 2021 года . Проверено 12 ноября 2021 г.
- ^ «В России арестована банда вымогателей REvil» . Новости Би-би-си . 14 января 2022 г. Проверено 14 января 2022 г.
- ^ «AhnLab, обнаружена программа-вымогатель «BlueCrab», нацеленная на цепочку поставок Kaseya» . inews24 (на корейском языке). 11 июля 2021 г.
- ^ « Gootloader» расширяет возможности доставки полезной нагрузки» . Новости Софоса . 01.03.2021.
- ^ «Немецкие пользователи атакованы программами-вымогателями Gootkit Banker или REvil» . Лаборатория MalwareBytes . 30 ноября 2020 г.
- ^ Форд, Эрик; Николс, Бен (сентябрь 2022 г.). «Работает ли Gootloader со службой внешней разведки?» (PDF) . дипвотч .
- ^ «Программа-вымогатель GandCrab: она скрывается за бесплатными шрифтами и резюме» . boannews (на корейском языке). 2018-11-12.
- ^ «Программа-вымогатель BlueCrab: используйте оптимизированные сценарии атак для частных лиц и компаний. Будьте осторожны при загрузке файлов» . inews24 (на корейском языке). 2021-02-02.
- ^ «Советы по безопасности для реагирования на атаку программы-вымогателя «MY DECRYPTER»» . Уведомление о безопасности KrCERT (на корейском языке). 2017-10-23.
- ^ «Заражение программами-вымогателями и требование платы за восстановление... Арест и судебное преследование представителей компании, собравших 2,6 миллиарда вон» . Корейская радиовещательная система KBS (на корейском языке). 20.11.2023.
- ^ «Верховный суд Кореи в течение шести месяцев скрывал инцидент со взломом, осуществленный северокорейскими хакерами. Пароль был 123qwe» . Nocut News (на корейском языке). 05.12.2023.
- ^ «Международная хакерская организация Lockbit объявляет о планах раскрыть данные, утверждающие, что они взломали Национальную налоговую службу» . Корейская радиовещательная система KBS (на корейском языке). 2023-03-30.