Ревиль
| Формация | 2019 |
|---|---|
| Тип | Взлом |
| Принадлежность | Plantokibi, Gandcrab |
Revil ( Ransomware Evil ; также известный как Sodinokibi ) был российским [ 1 ] или русский говорящий [ 2 ] Частная эксплуатация вымогателей -как услуга (RAAS). [ 3 ] После атаки Revil угрожает опубликовать информацию на своей странице Happy Blog, если выкуп не был получен. В громком случае Revil напал на поставщика технического гиганта Apple и украл конфиденциальные схемы их будущих продуктов. В январе 2022 года российская федеральная служба безопасности заявила, что они демонтировали Revil и обвинили нескольких его членов.
История
[ редактировать ]Revil набирает филиалов, чтобы распространять для них вымогательную программу . В рамках этой договоренности филиалы и разработчики вымогателей разделяют доходы, полученные от выплат. [ 4 ] Трудно точно определить их точное местоположение, но считается, что они базируются в России из-за того, что группа не нацелена на российские организации, или на организации в бывших странах советских блоков . [ 5 ]
Код Ransomware, используемый Revil, напоминает код, используемый Darkside , другой хакерской группой; Код Revil's не доступен общедоступным, предполагая, что Darkside является ответвлением Revil [ 6 ] или партнер Revil. [ 7 ] Revil и Darkside используют аналогично структурированные ноты выкупа и тот же код, чтобы убедиться, что жертва не находится в стране Содружества независимых государств (CIS). [ 8 ]
Эксперты по кибербезопасности считают, что Revil-это ответвление от предыдущей печально известной, но теперь не существующей хакерской банды Ганкраб. [ 9 ] Это подозревается из -за того, что Revil впервые стал активным сразу после закрытия Gandcrab, и что вымогатели имеют значительный объем кода.
2020
[ редактировать ]Может
[ редактировать ]В рамках деятельности преступного киберганга они известны тем, что крадут почти один терабайт информации из юридической фирмы Grubman Shire Meiselas & Sacks и требуют выкупа, чтобы не публиковать ее. [ 10 ] [ 11 ] [ 12 ] Группа также попыталась вымогать другие компании и общественные деятели.
В мае 2020 года они потребовали 42 миллиона долларов от президента США Дональда Трампа . [ 13 ] [ 14 ] Группа утверждала, что сделала это, расшифруя криптографию эллиптической кривой , которую фирма использовала для защиты своих данных. [ 15 ] Согласно интервью с предполагаемым членом, они нашли покупателя для информации Трампа, но это не может быть подтверждено. [ 16 ] В том же интервью член утверждал, что в 2020 году они принесут 100 миллионов долларов .
16 мая 2020 года группа выпустила юридические документы на общую сумму 2,4 ГБ, связанные с певицей Леди Гага . [ 17 ] На следующий день они выпустили 169 «безвредных» электронных писем, которые ссылались на Дональда Трампа или содержали слово «Трамп». [ 11 ]
Они планировали продавать информацию Мадонны , [ 18 ] но в конце концов отступил. [ 19 ]
2021
[ редактировать ]Маршировать
[ редактировать ]27 марта 2021 года Revil напал на Федерацию Харриса и опубликовал несколько финансовых документов Федерации в свой блог. В результате ИТ -системы Федерации были закрыты на несколько недель, затрагивая до 37 000 студентов. [ 20 ]
18 марта 2021 года на своем сайте утечки данных, который он загрузил данные с многонациональной аппаратной и электроникой Corporation Acer , заявила о том, что он загрузил данные, а также установка Ransomware, которая была связана с 2021 Microsoft Exchange Server Data Force Firm Firm Firm Form , который обнаружил первые признаки того, что серверы Acer были представлены с 5 марта 2021 г. Полем [ 21 ]
Апрель
[ редактировать ]В апреле 2021 года Revil украл планы для предстоящих продуктов Apple с квантового компьютера , в том числе предполагаемых планов для Apple Naptops и Apple Watch. Revil пригрозил публично опубликовать планы, если они не получат 50 миллионов долларов. [ 22 ] [ 23 ]
Может
[ редактировать ]30 мая 2021 года JBS SA подвергся атакованию вымогателей, что заставило временное закрытие всех заводов в говядине США и нарушенных работ на заводах птицы и свинины. Несколько дней спустя Белый дом объявил, что Revil может нести ответственность за кибератаку JBS SA . ФБР в подтвердило соединение в последующем заявлении Твиттере . [ 24 ] JBS заплатил выкуп в размере 11 миллионов долларов в биткойн , чтобы Revil.
Июнь
[ редактировать ]11 июня 2021 года Invenergy сообщила, что на них атаковали вымогатели. Позже Revil утверждал, что несет ответственность. [ 25 ]
Июль
[ редактировать ]2 июля 2021 года сотни управляемых поставщиков услуг заставили переосмысление вымогателей на своих системах через программное обеспечение для управления настольным компьютером Kaseya. [ 26 ] Revil потребовал 70 миллионов долларов для восстановления зашифрованных данных. [ 27 ] Как следствие, шведская сеть продуктовых магазинов курятников была вынуждена закрыть 800 магазинов в течение нескольких дней. [ 28 ] [ 29 ]
7 июля 2021 года Revil взломал компьютеры во Флориде подрядчика по космическому и напусковму HX5, который считает среди своих клиентов армию , военно -морской флот , ВВС и НАСА , публично выпуская украденные документы в своем счастливом блоге. New York Times оценил документы, чтобы не быть «жизненно важными последствиями». [ 30 ]
После телефонного звонка 9 июля между президентом Соединенных Штатов президентом Соединенными Штатами и президентом России Владимиром Путином , Байден сказал прессе: «Я очень ясно дал ему понять, что Соединенные Штаты ожидают, когда операция по вымогателям исходит от его земли, даже если она не спонсируется Государством мы ожидаем, что они будут действовать, если мы дадим им достаточно информации, чтобы действовать, кто это есть ». Позже Байден добавил, что Соединенные Штаты сведут серверы группы, если Путин этого не сделает. [ 31 ] [ 32 ]
13 июля 2021 года веб -сайты Revil и другая инфраструктура исчезли из Интернета. [ 33 ] Политик процитировал неназванного высокопоставленного чиновника администрации, заявив, что «мы не знаем точно, почему они [Revil] встали»; Чиновник также не сбрасывал на себя возможность того, что Россия закрыла группу или заставила ее закрыть. [ 34 ]
23 июля 2021 года Касея объявила, что получила ключ дешифрования за файлы, зашифрованные в атаке Касея против вымогателей Касея Вса . помогал жертвам восстановить свои файлы. [ 35 ] Ключ был удержан, чтобы избежать отмены возрождения усилий ФБР, чтобы снять свои серверы, что в конечном итоге оказалось ненужным после того, как хакеры не вмешались без вмешательства. [ 36 ]
Сентябрь
[ редактировать ]В сентябре 2021 года румынская фирма по кибербезопасности Bitdefender опубликовала бесплатную универсальную утилиту дешиптора, чтобы помочь жертвам Resil/Sodinokibi Ransomware восстановить свои зашифрованные файлы, если они были зашифрованы до 13 июля 2021 года. [ 37 ] С сентября до начала ноября децироптор использовался более чем 1400 компаниями, чтобы избежать выкупа более 550 миллионов долларов и позволить им восстановить свои файлы. [ 38 ]
22 сентября 2021 года исследователи вредоносных программ определили бэкдор, встроенный в повторное вредоносное ПО, которое позволило первоначальным членам банды проводить двойные чаты и обманывать своих филиалов из любых платежей по вымогателям. [ 39 ] Партнеры по вымогателям, которые были обмануты, по сообщениям, опубликовали свои претензии в «Хакерском суде», подрывая доверие к Revil филиалами. По сообщениям, более новые версии Revil Malware удалили бэкдор. [ 40 ]
Октябрь
[ редактировать ]21 октября 2021 года серверы Revil были взломаны в многостраничной операции и вынуждены офлайн. Глава VMware по стратегии кибербезопасности заявил, что «ФБР в сочетании с кибер-командованием , секретной службой и странами-единомышленниками по-настоящему участвовали в значительных разрушительных действиях против этих групп». Член Резюра попытался восстановить свои серверы с резервные копии, которые также были скомпрометированы. [ 41 ]
Расследования и уголовные обвинения
[ редактировать ]В рамках операции Golddust с участием 17 стран, европоля , европейка и интерпола , правоохранительные органы арестовали пять человек, привязанных к Sodinokibi/Revil, и двумя подозреваемыми, подключенными к Gandcrab Ransomware. Они якобы несут ответственность за 5000 инфекций и собрали полмиллиона евро в платежах по вымогателям. [ 42 ]
8 ноября 2021 года Министерство юстиции Соединенных Штатов распечатало обвинительные акты против украинского национального полианина Ярослава Васински и российского национального полианина Евгения. Васински было предъявлено обвинение в проведении атак на вымогательную программу против нескольких жертв, включая Касея, и был арестован в Польше 8 октября. Полианину было предъявлено обвинение в проведении атак вымогателей против нескольких жертв, включая техасские предприятия и государственные организации. Департамент работал с национальной полицией Украины по обвинению, а также объявил о захвате 6,1 миллиона долларов, привязанных к выплате вымогателей. В случае признания виновным по всем обвинениям Васиньски грозит максимальный штраф в 115 лет тюрьмы и полианина 145 лет тюрьмы. [ 43 ]
В январе 2022 года Российская федеральная служба безопасности заявила, что они демонтировали Revil и обвинили нескольких его членов после предоставления информации США. [ 44 ]
Пушистый
[ редактировать ]В Corrèze есть группа Hacker под названием Pluffy с штаб -квартирой, которая, как известно, имеет принадлежность к Revil, в которой в первую очередь используется опечатка , киберкваттинг и начинку ключевых слов . Эта хакерская группа распределила вымогательную программу Magniber, Sodinokibi и Gandcrab, Bluecrab (это следующая версия Gandcrab - тот же вариант, который использовался в атаке Ransomware Kaseya VSA. [ 45 ] ) Во Франции он известен как пушистый, [ 46 ] в Германии как талантфрай, [ 47 ] в Австралии и англоязычных странах как "Эмма Хилл", [ 48 ] и в Южной Корее в роли Небоми (что означает «цветение четырех сезонов» на корейском языке). Известно, что Fluffy заявил ряд жертв, особенно в Южной Корее. [ 49 ] [ 50 ]
Кампания, в которой Pluffuy впервые нацелена на Южную Корею, известна как Magniber, [ 51 ] и он использовал комплект эксплойтов до появления различных модифицированных полезных нагрузок . Методы, используемые этими модифицированными полезными нагрузками, различаются, но они имеют общность в использовании стандартизированных технологий, поддерживаемых веб-браузерами или операционными системами, такими как схема URI и Base64 , в отличие от комплектов эксплуатации, которые используют нулевого дня уязвимости . Пользователи получают предупреждения о безопасности от своих операционных систем перед выполнением файлов; Тем не менее, информации, предоставленной злоумышленниками, часто достаточна для пользователей, чтобы решить игнорировать оповещения о безопасности.
После введения этих измененных полезных нагрузок в Южной Корее Флаффи немедленно назвал себя Небоми и продолжил атаки вымогателей. В ноябре 2023 года офис прокуратуры Центрального округа Сеуль объявил, что сообщений о том, что сообщники, помогающие им в Южной Корее. Согласно объявлению, в процессе расследования подозреваемых также были обнаружены записи о переведенных средствах в Lazarus Group . [ 52 ] Неясно, связано ли это с продолжающимся расследованием вымогателей, но, согласно отчету СМИ в декабре 2023 года, Верховный суд Кореи утверждал, что он пережил кибератаку Лазаря, что привело к утечке конфиденциальных данных. [ 53 ]
Предполагается, что Fluffy помогает в распределении различных типов вымогателей, начиная от магнита и Revil до Lockbit , используя успешные случаи атак из полива отверстия, которые они выполнили. Например, считается, что они могут быть вовлечены в такие инциденты, как успешная кибер -атака на французское отделение Toshiba в мае 2021 года, заявленная кибератака на группу Doosan в августе 2022 года и заявленная кибератака на национальный налог Служба (Южная Корея) в марте 2023 года. [ 54 ]
Время от времени они использовали относительно простые методы, такие как электронные письма, для распределения возрождения (также известного как Gandcrab). Содержание этих электронных писем, как правило, включало в себя выдачу правоохранительных органов. Отправителями этих электронных писем были два человека в возрасте до 19 лет, которые утверждали, что совершили такие преступления в ответ на предложение, в котором говорилось: «Если вы присоединитесь к отправке вымогателей, мы поделимся прибылью». В ходе судебного разбирательства, состоявшегося в Центральном окружном суде Сеула в августе 2021 года, они были приговорены к 2 годам и 1 году 6 месяцев тюремного заключения. Один из них уже получил 10-летний тюремный срок за участие в другой кампании.
Ссылки
[ редактировать ]- ^ Боуден, Джон (13 июля 2021 г.). «Российская группа Ransomware« Revil »исчезает после удара по бизнесу в США» . Независимый . Архивировано из оригинала 13 августа 2021 года.
- ^ Кольер, Кевин (13 июля 2021 г.). «Плодое количество вымогателей вдруг исчезает из Интернета. Время заслуживает внимания» . NBC News . Архивировано с оригинала 12 ноября 2021 года.
- ^ Фоккер, Джон (2019-10-02). «McAfee ATR анализирует Sodinokibi aka Revil Ransomware-As-A-Service-All-Stars» . Блоги McAfee . Архивировано из оригинала 2021-11-11 . Получено 2020-10-07 .
- ^ Абрамс, Лоуренс. «Sodinokibi Ransomware: следуя по тропе партнерских денег» . Пролавкованный компьютер . Архивировано из оригинала 2021-07-05 . Получено 2020-10-07 .
- ^ Сааринен, Джуха (29 января 2020 г.). «Нет, не сдаваясь на атаки revil ransomware-as-a-service» . это новости .
- ^ Sangerperlroth> Дэвид Э. Сэнгер и Николь Перлрот, ФБР идентифицирует группу позади Hack Hack , New York Times (10 мая 2021 года).
- ^ Чарли Осборн, исследователи отслеживают пять филиалов службы Darkside Ransomware , Zdnet (12 мая 2021 года).
- ^ То, что мы знаем о Darkside Ransomware и атаке трубопровода США , Trend Micro Research (14 мая 2021 года).
- ^ Виджаян, Джай (25 сентября 2019 г.). «Разработчики Gandcrab, стоящие за разрушительными вымогателями» . Темный читающий .
- ^ Cimpanu, Каталин. «Ransomware Gang спрашивает 42 млн долларов от юридической фирмы Нью -Йорка, угрожает пропустить грязь на Трампе» . Zdnet . Получено 2020-05-17 .
- ^ Подпрыгнуть до: а беременный Виндер, Дэйви. «Хакеры публикуют первые 169 Trump 'Dirty Wrantry Persails после того, как они являются маркированными кибертеррористами» . Форбс . Получено 2020-05-17 .
- ^ Сайкс, Том (2020-05-15). « Huckers« Revil »удваивает свой спрос на выкуп Аллена Грубмана до 42 млн. Долл. США, угрожает сбросить Дональда Трампа грязи» . Daily Beast . Получено 2020-05-17 .
- ^ «Преступная группа, которая взломала юридическую фирму угрожает выпустить документы Трампа» . NBC News . 16 мая 2020 года . Получено 2020-05-17 .
- ^ Адлер, Дэн (15 мая 2020 г.). «Что у этих хакеров на Трампе, и зачем Аллен Грубман заплатить, чтобы подавить его?» Полем Тщеслаковая ярмарка . Получено 2020-05-17 .
- ^ "Forbes" . Форбс .
- ^ Печать, Тара (29 октября 2020 г.). «Revil Gang обещает большой удар видеоигр; банда лабиринта закрывается» . угроза .
- ^ Ошеломленный (2020-05-16). «Хакеры просочились юридические документы Леди Гаги» . Ошеломленный . Получено 2020-05-17 .
- ^ Кобле, Сара (2020-05-19). «Revil на аукцион украденные данные Мадонны» . Журнал Infosecurity . Получено 2020-07-17 .
- ^ Кобле, Сара (2020-09-23). «Воры не могут продавать юридические документы Брюса Спрингстина» . Журнал Infosecurity . Получено 2020-12-10 .
- ^ «Данные свидетельствуют о возрождении атаки вымогателей Федерации Харриса» . Это Pro . 9 апреля 2021 года . Получено 2021-04-30 .
- ^ Абрамс, Лоуренс (19 марта 2021 г.). «Компьютерный гигант Acer попал в атаку вымогателей в размере 50 миллионов долларов» . BleepingComputer . Получено 2021-03-20 .
- ^ «Хакеры вымогателей крадут планы для предстоящих продуктов Apple» . Хранитель . 2021-04-22 . Получено 2021-04-22 .
- ^ «Пресловутая банда вымогателей утверждает, что украла дизайн продукта Apple» . Гизмодо . 20 апреля 2021 года . Получено 2021-04-22 .
- ^ «Заявление ФБР о кибератаке JBS» . Twitter 2021-06-02 . Получено 2021-06-03 .
- ^ «Hacker Group Revil претендует на ответственность за нарушение данных изобретательгии» . PV Magazine USA . 14 июня 2021 года.
- ^ «Важное уведомление 2 июля 2021 года - Касея» . 3 июля 2021 года. Архивировано с оригинала 2021-07-03.
- ^ Шаттер, Рафаэль (2021-07-05). «Генеральный директор американской фирмы говорит, что до 1500 предприятий, затронутых атакой вымогателей» . Рейтер . Архивировано из оригинала 2021-11-24 . Получено 2021-07-05 .
- ^ Ахлендер, Йохан; Менн, Джозеф (2021-07-03). «Основная атака вымогателей против американского поставщика технических технологий заставляет шведские магазины закрытия» . Рейтер . Архивировано из оригинала 2021-10-25 . Получено 2021-07-05 .
- ^ Лили Хей Ньюман (2021-07-04). «Как Revil Ransomware взяла тысячи бизнеса одновременно» . Проводной . Архивировано из оригинала 2021-11-10 . Получено 2021-12-03 .
- ^ Сэнгер, Дэвид Э.; Перлот, Николь (7 июля 2021 г.). «Байден весит ответ на атаки вымогателей» . New York Times . Получено 8 июля 2021 года .
- ^ Миллер, Зик; Такер, Эрик (9 июля 2021 г.). «Байден говорит, что Путин Россия должна расколоть киберпреступники» . Ассошиэйтед Пресс . Архивировано из оригинала 11 ноября 2021 года.
- ^ Сэнгер, Дэвид Э. (13 июля 2021 г.). «Самая агрессивная группа российских вымогателей исчезла. Неясно, кто их отключил» . New York Times .
- ^ Фанг, Брайан; Коэн, Захари; Пески, Женева (13 июля 2021 г.). «Банда вымогателей, которая загадочно ударила поставщика мяса из Интернета» . CNN Business . Архивировано из оригинала 27 сентября 2021 года.
- ^ Този, Нахал (20 июля 2021 года). «Байден официальный:« Мы не знаем точно, почему »банда вымогателей исчезла из Интернета» . Политик . Получено 21 июля 2021 года .
- ^ «Ключ вымогателей, чтобы разблокировать данные клиента из Revil Attack» . BBC News . Би -би -си . 23 июля 2021 года . Получено 23 июля 2021 года .
- ^ Эллен Накисима; Рэйчел Лерман (21 сентября 2021 г.). «ФБР сдерживало вымогательную программу вымогателей из предприятий, чтобы запустить операцию, ориентируясь на хакеров» . The Washington Post .
- ^ «Bitdefender предлагает бесплатный универсальный дешиптор для Resil/Sodinokibi Ransomware» . Битдефендер . 16 сентября 2021 года. Архивировано с оригинала 26 ноября 2021 года . Получено 3 декабря 2021 года .
- ^ Ботезату, Богдан (8 ноября 2021 г.). «Bitdefender, правоохранительное партнерство спасает жертвам Revil на полмиллиарда спроса на выкуп» . Битдефендер . Архивировано из оригинала 11 ноября 2021 года . Получено 3 декабря 2021 года .
- ^ Ваас, Лиза (22 сентября 2021 г.). «Как Revil, возможно, сорвал своих собственных филиалов» . Chegenpost.com . Архивировано из оригинала 5 октября 2021 года . Получено 3 декабря 2021 года .
- ^ Ваас, Лиза (23 сентября 2021 года). «Парффилированные лица Revil подтверждают: лидерство обманывали грязные сумки» . Chegenpost.com . Архивировано из оригинала 8 октября 2021 года . Получено 3 декабря 2021 года .
- ^ Менн, Джозеф; Бинг, Кристофер (21 октября 2021 г.). «Эксклюзивные правительства поворачивают таблицы на Ransomware Gang Revil, выдвинув его в автономном режиме» . Рейтер . Архивировано из оригинала 1 декабря 2021 года . Получено 3 декабря 2021 года .
- ^ «Пять филиалов Sodinokibi/Revil отключены» . Европоль . 8 ноября 2021 года. Архивировано с оригинала 12 ноября 2021 года . Получено 12 ноября 2021 года .
- ^ «Украинский арестован и обвинен в атаке вымогателей на Касея» . Министерство юстиции США . 8 ноября 2021 года. Архивировано с оригинала 11 ноября 2021 года . Получено 12 ноября 2021 года .
- ^ «Резумновая банда арестован в России» . BBC News . 2022-01-14 . Получено 2022-01-14 .
- ^ «Ahnlab, Kaseya-Chain Targeted Ransomware,« Bluecrab »идентифицирован» . inews24 (на корейском). 2021-07-11.
- ^ « Gootloader» расширяет варианты доставки полезной нагрузки » . Софос новости . 2021-03-01.
- ^ «Немецкие пользователи, нацеленные на банкир Gootkit или Resil Ransomware» . MalwareBytes Labs . 30 ноября 2020 года.
- ^ Форд, Эрик; Николс, Бен (сентябрь 2022 г.). "Работает ли Gootloader с службой иностранной разведки?" (PDF) . Deepwatch .
- ^ «Gandcrab Ransomware: он скрывается за бесплатными шрифтами и резюме» . Boannews (на корейском). 2018-11-12.
- ^ «Bluecrab Ransomware: используйте оптимизированные сценарии атаки для отдельных лиц и компаний. Будьте осторожны при загрузке файлов» . inews24 (на корейском). 2021-02-02.
- ^ «Совет по обеспечению безопасности ответить на атаку« Decrypter »вымогателей» . Уведомление о безопасности KRCERT (на корейском языке). 2017-10-23.
- ^ «Инфекция с помощью вымогателей и требовательных сборов за восстановление ... арест и судебное преследование представителей компании, которые собрали 2,6 миллиарда вон» . KBS COREA Система вещания (на корейском языке). 2023-11-20.
- ^ «Верховный суд Кореи скрыл инцидент с взломом, осуществляемый хакерами Северной Кореи в течение шести месяцев. Пароль был 123QWE» . Nocut News (на корейском языке). 2023-12-05.
- ^ «Международная хакерская организация« Lockbit »объявляет о планах раскрытия данных, утверждающих, что взломала национальную налоговую службу» . KBS COREA Система вещания (на корейском языке). 2023-03-30.