Los operadores detrás del grupo de ransomware REvil han resurgido después de supuestamente cerrar la tienda tras el ataque generalizado a Kaseya que causó miles de víctimas el 4 de julio.
Los investigadores de seguridad dijeron que todos los sitios web oscuros del prolífico grupo de ransomware, incluido el sitio de pago, el sitio público del grupo, el chat del ‘servicio de asistencia’ y su portal de negociación, se desconectaron el 13 de julio después de que el ataque Kaseya provocó la condena mundial y duras amenazas de los legisladores estadounidenses.
El presidente estadounidense, Joe Biden, habló personalmente con el presidente ruso, Vladimir Putin, después del ataque. Muchos atribuyeron el cierre de REvil a la conversación, en la que Biden presionó a Putin sobre los ataques de ransomware que se originaban en suelo ruso.
A pesar de la conversación, tanto las autoridades estadounidenses como las rusas negaron cualquier participación en la desaparición de REvil en julio.
Pero docenas de investigadores de seguridad llevó a las redes sociales el martes para mostrar que el Happy Blog del grupo y otros sitios conectados a REvil habían resurgido. Computadora pitando reportada que la entrada más reciente era de una víctima que fue atacada el 8 de julio.
Investigadores de seguridad de Recorded Future y Emsisoft ambos confirmaron que gran parte de la infraestructura del grupo estaba nuevamente en línea.
El experto en ransomware Allan Liska le dijo a MarketingyPublicidad.es que la mayoría de la gente esperaba que REvil regresara, pero con un nombre diferente y una nueva variante de ransomware.
«Las cosas definitivamente se pusieron calientes para ellos por un tiempo, por lo que necesitaban dejar que las fuerzas del orden público se calmaran. El problema (para ellos) es que, si este es realmente el mismo grupo, que usa la misma infraestructura, en realidad no se compraron nada. distancia de las fuerzas del orden o de los investigadores, lo que los pondrá de nuevo en el punto de mira de literalmente todos los grupos encargados de hacer cumplir la ley en el mundo (excepto Rusia)», explicó Liska.
«También agregaré que revisé todos los repositorios de código habituales, como VirusTotal y Malware Bazaar, y aún no he visto ninguna muestra nueva publicada. Entonces, si lanzaron nuevos ataques de ransomware, no ha habido han sido muchos de ellos».
Una captura de pantalla del Happy Blog de REvil. Brett Callow
En agosto, un informe de la empresa de seguridad BlackFog sobre ataques de ransomware encontró que REvil representó más del 23 % de los ataques que rastrearon el mes pasado. Eso fue más que cualquier otro grupo rastreado en el informe.
El CEO de BlackFog, Darren Williams, dijo que los datos mostraban que REvil es ahora una de las variantes de ransomware más exitosas en 2021 y le dijo a MarketingyPublicidad.es que no es sorprendente que el grupo haya comenzado nuevamente dado el éxito anterior.
«Claramente, existe una demanda reprimida por las técnicas y el código base del grupo. El nivel de presión que ejerce el presidente de los EE. UU. y la discusión de alto nivel con Putin se correlacionan con el momento de la pausa. El nivel de cumplimiento que se aplica a nivel mundial también alcanzó su punto máximo. durante este período, claramente sienten que ahora pueden continuar con las operaciones», dijo Williams.
«En general, la red global de atacantes que aprovechan la tecnología de los grupos REvil está en su punto más alto. El éxito de estos ataques recientes y el gran tamaño y volumen han generado indirectamente aún más interés por parte de los atacantes que obtienen licencias de la tecnología. Si funciona, entonces claramente más atacantes aprovecharán esta tecnología hasta que surja algo mejor. El desafío para los proveedores de seguridad cibernética es prevenir estos ataques mediante el uso de tecnologías más nuevas, como la exfiltración de datos».
REvil atacó al menos a 360 organizaciones con sede en EE. UU. este año, según el analista de amenazas de Emsisoft Brett Callow. El sitio de investigación Ransomwhere dice que el grupo ha recaudado más de $ 11 millones este año, con ataques de alto perfil en Acer, JBS, Quanta Computer y más.
El cierre de REvil en julio dejó a algunas víctimas en una situación difícil. Mike Hamilton, ex CISO de Seattle y ahora CISO de la firma de remediación de ransomware Critical Insight, dijo que una empresa pagó un rescate después del ataque de Kaseya y recibió las claves de descifrado de REvil, pero descubrió que no funcionaban.
REvil normalmente ofrece una función de mesa de ayuda que ayuda a las víctimas a recuperar sus datos.
«Algunos de nuestros clientes salieron muy fácilmente. Si tenía ese agente instalado en computadoras sin importancia, simplemente las reconstruía y volvía a la vida. Pero recibimos una llamada de socorro hace unos días de una empresa que se vio muy afectada porque tenían una empresa que administraba muchos de sus servidores con Kaseya VSA. Muchos de sus servidores fueron atacados y tenían mucha información sobre ellos, por lo que llamaron a su compañía de seguros y decidieron pagar el rescate», dijo Hamilton. .
«Obtuvieron su clave de descifrado, y cuando comenzaron a usarla, descubrieron que en algunos lugares funcionaba y en otros no. Estas pandillas de ransomware tienen atención al cliente, pero de repente, se apagaron. Ellos se han ido por completo, por lo que no hay ayuda, y estas personas simplemente están atrapadas. Van a terminar perdiendo una gran cantidad de datos y van a terminar gastando mucho dinero para reconstruir su red a partir de rayar completamente».
