Группировка REvil вернулась к активной деятельности

Вымогательская группировка REvil, пропавшая из вида несколько месяцев назад, вернулась к активной деятельности и снова атакует компании. Первые признаки активности группировки появились на прошлой неделе, когда портал REvil в даркнете снова заработал .

REvil появилась на вымогательской сцене в 2019 году и получила широкую известность в связи с атаками на ряд крупных компаний, включая JBS и Kaseya, от которых требовала многомиллионные выкупы за восстановление зашифрованных данных.

Группировка отключила свою web-инфраструктуру после масштабной атаки на американскую компанию Kaseya, затронувшей тысячи предприятий в нескольких странах мира. Вымогатели потребовали от компании $50 млн за универсальный декриптор. В конце июля Kaseya сообщила , что получила ключ дешифрования от «третьей стороны».

Почти два месяца о группировке ничего не было слышно, однако 7 сентября платежный сайт и сайт утечек REvil снова вернулись online с тем же списком жертв, а 9 сентября на VirusTotal был загружен новый вариант шифровальщика REvil, скомпилированный 4 сентября.

Судя по сообщению на одном из хакерских форумов, у группировки появился новый публичный представитель вместо администратора REvil, использующего псевдоним Unknown (или UNKN). По словам нового представителя, известного как REvil, группировка временно прекратила деятельность из-за подозрений, что Unknown был арестован, а сервера – скомпрометированы. Он также сообщил, что универсальный декриптор, полученный Kaseya, просто «утек» из-за ошибки во время генерации ключа, а не после операции правоохранительных органов, как предполагалось ранее.

На данный момент, неясно как именно обстоят дела с REvil. По словам одного из операторов, группировка просто ушла «в отпуск». Как бы то ни было, REvil вновь вернулась к деятельности, а значит, нужно ждать новых атак.