Zloglasna ransomware grupa REvil ponovo se pojavila, tvrdi nekoliko istraživača bezbjednosti koji prate njene napade
Grupa REvil je po drugi put prekinula svoje operacije u oktobru nakon što je u poruci objavljenoj na jednom hakerskom forumu tvrdila da su izgubili kontrolu nad svojim TOR domenima. Kasnije se ispostavilo da su za to zaslužne policije više zemalja.
U januaru je ruska Federalna služba bezbjednosti širom Moskve, Sankt Peterburga, Lenjingrada i Lipecka izvršila 25 pretresa kuća u vlasništvu 14 osoba za koje se sumnja da su deo tima REvil-a. Sud u Moskvi je kasnije optužio osam ljudi koji su navodno bili članovi bande.
Ali prije tri nedjelje, istraživači su otkrili da serveri REvil ransomwarea ponovo rade. Blog grupe je takođe vraćen.
Odnosi Rusije i SAD
Viši analitičar za sajber prijetnje iz Digital Shadowsa Kris Morgan povezao je povratak grupe sa trenutnim odnosima Rusije i SAD, jer su kanali komunikacije uspostavljeni zbog rješavanja pitanja sajber bezbjednosti prekinuti nakon početka rata u Ukrajini.
„Potencijalni povratak REvil-a poklapa se sa zatvaranjem kanala za dijalog za diskusiju o pitanjima sajber bezbednosti između Sjedinjenih Država i Rusije. Kao rezultat toga, realno je moguće da su ruske vlasti odustale od istrage o grupi ili na neki drugi način ukazale operaterima REvil-a da bi mogli da ponovo pokrenu svoje operacije, nakon hapšenja nekoliko članova u januaru 2022. godine“, rekao je Morgan za The Record.
On kaže da je „nejasno ko tačno koordinira povratak REvil-a“ – možda je to neko od bivših članova REvil-a ili neko ko je imao pristup izvornom kodu i infrastrukturi koju je grupa ranije koristila.
Morgan je dodao da je analiza izvornog koda koji je REvil koristio u nedavnim napadima pokazala da je došlo do promjena. Uzorak koji je Morgan analizirao ne šifruje fajlove što bi se moglo objasniti ili kao operativna greška ili da neko pokušava da iskoristi reputaciju grupe.
Secureworks Counter Threat Unit objavio je detaljnu analizu novog uzorka REvil-a. Prema toj analizi, onaj ko stoji iza povratka grupe imao je pristup originalnom izvornom kodu i dijelovima stare infrastrukture, i aktivno razvija ransomware.
Prema Secureworks Counter Threat Unitu, moguće je da nisu svi članovi grupe uhapšeni i da su pokrenuli novu operaciju, ili da je neka filijala grupe preuzela operaciju uz blagoslov grupe.
(Informacija.rs)
