Posle hapšenja članova grupe, stižu upozorenja da ransomware banda REvil ponovo napada

Vesti, 20.05.2022, 09:00 AM

Zloglasna ransomware grupa REvil ponovo se pojavila, tvrdi nekoliko istraživača bezbednosti koji prate njene napade.

Grupa je po drugi put prekinula svoje operacije u oktobru nakon što je u poruci objavljenoj na jednom hakerskom forumu tvrdila da su izgubili kontrolu nad svojim TOR domenima. Kasnije se ispostavilo da su za to zaslužne policije više zemalja.

U januaru je ruska Federalna služba bezbednosti širom Moskve, Sankt Peterburga, Lenjingrada i Lipecka izvršila 25 pretresa kuća u vlasništvu 14 osoba za koje se sumnja da su deo tima REvil-a. Sud u Moskvi je kasnije optužio osam ljudi koji su navodno bili članovi bande.

Ali pre tri nedelje, istraživači su otkrili da serveri REvil ransomwarea ponovo rade. Blog grupe je takođe vraćen.

Viši analitičar za sajber pretnje iz Digital Shadowsa Kris Morgan povezao je povratak grupe sa trenutnim odnosima Rusije i SAD, jer su kanali komunikacije uspostavljeni zbog rešavanja pitanja sajber bezbednosti nakon ruske invazije na Ukrajinu prekinuti.

„Potencijalni povratak REvil-a poklapa se sa zatvaranjem kanala za dijalog za diskusiju o pitanjima sajber bezbednosti između Sjedinjenih Država i Rusije. Kao rezultat toga, realno je moguće da su ruske vlasti odustale od istrage o grupi ili na neki drugi način ukazale operaterima REvil-a da bi mogli da ponovo pokrenu svoje operacije, nakon hapšenja nekoliko članova u januaru 2022. godine“, rekao je Morgan za The Record. On kaže da je „nejasno ko tačno koordinira povratak REvil-a” - možda je to neko od bivših članova REvil-a ili neko ko je imao pristup izvornom kodu i infrastrukturi koju je grupa ranije koristila. Morgan je dodao da je analiza izvornog koda koji je REvil koristio u nedavnim napadima pokazala da je došlo do promena. Uzorak koji je Morgan analizirao ne šifruje fajlove što bi se moglo objasniti ili kao operativna greška ili da neko pokušava da iskoristi reputaciju grupe.

Secureworks Counter Threat Unit objavio je detaljnu analizu novog uzorka REvil-a. Prema toj analizi, onaj ko stoji iza povratka grupe imao je pristup originalnom izvornom kodu i delovima stare infrastrukture, i aktivno razvija ransomware. Prema Secureworks Counter Threat Unitu, moguće je da nisu svi članovi grupe uhapšeni i da su pokrenuli novu operaciju, ili da je neka filijala grupe preuzela operaciju uz blagoslov grupe.