REvil

REvil ( Ransomware Evil ; también conocido como Sodinokibi ) era una operación privada de ransomware como servicio (RaaS) con sede en Rusia ^{[ 1 ]} o de habla rusa ^{[ 2 ] . [ 3 ]} Tras un ataque, REvil amenazaba con publicar la información en su página Happy Blog a menos que se recibiera el rescate . En un caso de gran repercusión, REvil atacó a un proveedor del gigante tecnológico Apple y robó esquemas confidenciales de sus próximos productos. En enero de 2022, el Servicio Federal de Seguridad de Rusia anunció el desmantelamiento de REvil y la imputación de varios de sus miembros.

REvil recluta afiliados para distribuir el ransomware en su nombre. Como parte de este acuerdo, los afiliados y los desarrolladores del ransomware se reparten los ingresos generados por los pagos de rescate. ^{[ 4 ]} Es difícil determinar su ubicación exacta, pero se cree que tienen su base en Rusia debido a que el grupo no ataca a organizaciones rusas ni a las de los países del antiguo bloque soviético . ^{[ 5 ]}

El código de ransomware utilizado por REvil se asemeja al código utilizado por DarkSide , otro grupo de hackers; el código de REvil no está disponible públicamente, lo que sugiere que DarkSide es una ramificación de REvil ^{[ 6 ]} o un socio de REvil. ^{[ 7 ]} REvil y DarkSide utilizan notas de rescate con una estructura similar y el mismo código para comprobar que la víctima no se encuentre en un país de la Comunidad de Estados Independientes (CEI). ^{[ 8 ]}

Los expertos en ciberseguridad creen que REvil es una ramificación de una banda de hackers notoria, pero ahora desaparecida, llamada GandCrab. ^{[ 9 ]} Esto se sospecha debido a que REvil comenzó a estar activo inmediatamente después del cierre de GandCrab, y a que ambos ransomware comparten una cantidad significativa de código.

Como parte de las operaciones de la banda cibernética criminal, son conocidos por robar casi un terabyte de información del bufete de abogados Grubman Shire Meiselas & Sacks y exigir un rescate para no publicarla. ^{[ 10 ] [ 11 ] [ 12 ]} El grupo también había intentado extorsionar a otras empresas y figuras públicas.

En mayo de 2020 exigieron 42 millones de dólares al presidente estadounidense Donald Trump . ^{[ 13 ] [ 14 ]} El grupo afirmó haberlo logrado descifrando la criptografía de curva elíptica que la empresa utilizaba para proteger sus datos. ^{[ 15 ]} Según una entrevista con un presunto miembro, encontraron un comprador para la información de Trump, pero esto no se puede confirmar. ^{[ 16 ]} En la misma entrevista, el miembro afirmó que recaudarían 100 millones de dólares en rescates en 2020.

El 16 de mayo de 2020, el grupo publicó documentos legales con un tamaño total de 2,4 GB relacionados con la cantante Lady Gaga . ^{[ 17 ]} Al día siguiente, publicaron 169 correos electrónicos "inofensivos" que hacían referencia a Donald Trump o contenían la palabra "Trump". ^{[ 11 ]}

Tenían previsto vender la información de Madonna , ^{[ 18 ]} pero finalmente se retractaron. ^{[ 19 ]}

El 27 de marzo de 2021, REvil atacó a la Federación Harris y publicó varios documentos financieros de la federación en su blog. Como resultado, los sistemas informáticos de la federación estuvieron inactivos durante varias semanas, afectando a hasta 37 000 estudiantes. ^{[ 20 ]}

El 18 de marzo de 2021, un afiliado de REvil afirmó en su sitio web de filtración de datos haber descargado información de la multinacional de hardware y electrónica Acer , además de haber instalado ransomware. Este ransomware fue vinculado a la filtración de datos de Microsoft Exchange Server de 2021 por la empresa de ciberseguridad Advanced Intel, que detectó los primeros indicios de que los servidores de Acer habían sido atacados desde el 5 de marzo de 2021. Se exigió un rescate de 50 millones de dólares para descifrar un número indeterminado de sistemas y eliminar los archivos descargados, cantidad que aumentaría a 100 millones de dólares si no se pagaba antes del 28 de marzo de 2021. ^{[ 21 ]}

En abril de 2021, REvil robó los planos de futuros productos de Apple a Quanta Computer , incluyendo supuestos planos de portátiles Apple y un Apple Watch. REvil amenazó con publicar los planos a menos que recibieran 50 millones de dólares. ^{[ 22 ] [ 23 ]}

El 30 de mayo de 2021, JBS SA fue atacada con ransomware, lo que obligó al cierre temporal de todas las plantas de carne de res de la compañía en EE. UU. e interrumpió las operaciones en las plantas de aves de corral y cerdo. Pocos días después, la Casa Blanca anunció que REvil podría ser responsable del ciberataque a JBS SA . El FBI confirmó la conexión en un comunicado posterior en Twitter . ^{[ 24 ]} JBS pagó un rescate de 11 millones de dólares en Bitcoin a REvil.

El 11 de junio de 2021, Invenergy informó haber sido víctima de un ataque de ransomware. Posteriormente, REvil se atribuyó la responsabilidad. ^{[ 25 ]}

El 2 de julio de 2021, cientos de proveedores de servicios gestionados sufrieron un ataque de ransomware REvil en sus sistemas a través del software de gestión de escritorio Kaseya. ^{[ 26 ]} REvil exigió 70 millones de dólares para recuperar los datos cifrados . ^{[ 27 ]} Como consecuencia, la cadena de supermercados sueca Coop se vio obligada a cerrar 800 tiendas durante varios días. ^{[ 28 ] [ 29 ]}

El 7 de julio de 2021, REvil hackeó los ordenadores de HX5, una empresa contratista de tecnología espacial y de lanzamiento de armas con sede en Florida , que cuenta entre sus clientes con el Ejército , la Armada , la Fuerza Aérea y la NASA , y publicó públicamente documentos robados en su blog Happy Blog. El New York Times consideró que los documentos no eran de "importancia vital". ^{[ 30 ]}

Tras una llamada telefónica el 9 de julio entre el presidente de Estados Unidos, Joe Biden, y el presidente ruso , Vladimir Putin , Biden declaró a la prensa: «Le dejé muy claro que Estados Unidos espera que, cuando se produzca un ataque de ransomware desde su territorio, aunque no esté patrocinado por el Estado, actúen si les proporcionamos suficiente información para identificar al responsable». Posteriormente, Biden añadió que Estados Unidos desactivaría los servidores del grupo si Putin no lo hacía. ^{[ 31 ] [ 32 ]}

El 13 de julio de 2021, los sitios web y otra infraestructura de REvil desaparecieron de internet. ^{[ 33 ]} Politico citó a un alto funcionario de la administración, cuyo nombre no se reveló, quien afirmó que "no sabemos exactamente por qué [REvil] se ha retirado"; el funcionario tampoco descartó la posibilidad de que Rusia hubiera cerrado el grupo o lo hubiera obligado a cerrar. ^{[ 34 ]}

El 23 de julio de 2021, Kaseya anunció que había recibido la clave de descifrado de los archivos cifrados en el ataque de ransomware Kaseya VSA del 2 de julio de una "tercera parte de confianza" no identificada, que más tarde se descubrió que era el FBI, quien había retenido la clave durante tres semanas y estaba ayudando a las víctimas a restaurar sus archivos. ^{[ 35 ]} La clave se retuvo para evitar alertar a REvil sobre un intento del FBI de desactivar sus servidores, lo cual finalmente resultó innecesario después de que los hackers se desconectaran sin intervención. ^{[ 36 ]}

En septiembre de 2021, la empresa rumana de ciberseguridad Bitdefender publicó una utilidad de descifrado universal gratuita para ayudar a las víctimas del ransomware REvil/Sodinokibi a recuperar sus archivos cifrados, si estos habían sido cifrados antes del 13 de julio de 2021. ^{[ 37 ]} Desde septiembre hasta principios de noviembre, más de 1400 empresas utilizaron el descifrador para evitar pagar más de 550 millones de dólares en rescate y recuperar sus archivos. ^{[ 38 ]}

El 22 de septiembre de 2021, investigadores de malware identificaron una puerta trasera integrada en el malware REvil que permitía a los miembros originales de la banda realizar conversaciones falsas y estafar a sus afiliados, privándolos de los pagos del rescate. ^{[ 39 ]} Según se informa, los afiliados al ransomware que fueron estafados publicaron sus reclamaciones en un "Tribunal de Hackers", lo que socavó la confianza de los afiliados en REvil. Al parecer, las versiones más recientes del malware REvil eliminaron la puerta trasera. ^{[ 40 ]}

El 21 de octubre de 2021, los servidores de REvil fueron hackeados en una operación que involucró a varios países y quedaron fuera de servicio. El jefe de estrategia de ciberseguridad de VMWare declaró: «El FBI, en conjunto con el Comando Cibernético , el Servicio Secreto y países afines, han emprendido acciones de disrupción significativas contra estos grupos». Un miembro de la banda REvil intentó restaurar sus servidores a partir de copias de seguridad que también habían sido comprometidas. ^{[ 41 ]}

En el marco de la Operación GoldDust, en la que participaron 17 países, Europol , Eurojust e INTERPOL , las autoridades policiales detuvieron a cinco personas vinculadas a Sodinokibi/REvil y a dos sospechosos relacionados con el ransomware GandCrab. Se les acusa de haber causado 5000 infecciones y de haber recaudado medio millón de euros en pagos de rescate. ^{[ 42 ]}

El 8 de noviembre de 2021, el Departamento de Justicia de los Estados Unidos hizo públicas las acusaciones contra el ciudadano ucraniano Yaroslav Vasinskyi y el ciudadano ruso Yevgeniy Polyanin. Vasinskyi fue acusado de realizar ataques de ransomware contra múltiples víctimas, entre ellas Kaseya, y Polyanin fue acusado de realizar ataques de ransomware contra múltiples víctimas, entre ellas empresas y entidades gubernamentales de Texas. El Departamento colaboró ​​con la Policía Nacional de Ucrania en la presentación de las acusaciones y también anunció la incautación de 6,1 millones de dólares vinculados a los pagos de rescate. ^{[ 43 ]} Vasinskyi, también conocido como Rabotnik, fue arrestado mientras cruzaba la frontera de Ucrania a Polonia el 8 de octubre de 2021 y fue extraditado a los Estados Unidos en 2022. Se declaró culpable de cargos de ciberdelincuencia y lavado de dinero, y el 1 de mayo de 2024 fue sentenciado a 13 años y siete meses de prisión y se le ordenó pagar 16 millones de dólares en concepto de restitución. ^{[ 44 ] [ 45 ]} A partir de 2025, Polyanin sigue prófugo y el FBI cree que reside en Rusia, posiblemente en Barnaul . ^{[ 46 ] [ 47 ]}

En enero de 2022, el Servicio Federal de Seguridad ruso dijo que había desmantelado REvil y acusado a varios de sus miembros después de recibir información de Estados Unidos. ^{[ 48 ]}

Existe un grupo de hackers llamado Fluffy con sede en Corrèze, conocido por su afiliación con REvil, que utiliza principalmente typosquatting , cybersquatting y keyword stuffing . Este grupo de hackers ha distribuido el ransomware Magniber, Sodinokibi y GandCrab, BlueCrab (la siguiente versión de GandCrab es la misma variante que se utilizó en el ataque de ransomware Kaseya VSA ^{[ 49 ]} ). En Francia, se le conoce como Fluffy, ^{[ 50 ]} en Alemania como Talentfrei, ^{[ 51 ]} en Australia y países de habla inglesa como "Emma Hill", ^{[ 52 ]} y en Corea del Sur como Nebomi (que significa "Flor de las Cuatro Estaciones" en coreano). Se sabe que Fluffy ha cobrado varias víctimas, especialmente en Corea del Sur. ^{[ 53 ] [ 54 ]}

La campaña en la que Fluffy atacó por primera vez a Corea del Sur se conoce como Magniber, ^{[ 55 ]} y utilizó un kit de exploits antes de la aparición de varias cargas útiles modificadas . Las técnicas empleadas por estas cargas útiles modificadas varían, pero comparten la característica común de utilizar tecnologías estandarizadas compatibles con navegadores web o sistemas operativos, como el esquema URI y BASE64 , a diferencia de los kits de exploits que aprovechan vulnerabilidades de día cero . Los usuarios reciben advertencias de seguridad de sus sistemas operativos antes de ejecutar los archivos; sin embargo, la información proporcionada por los atacantes suele ser suficiente para que los usuarios decidan ignorar las alertas de seguridad.

Tras la introducción de estas cargas útiles modificadas en Corea del Sur, Fluffy se autodenominó inmediatamente Nebomi y continuó con los ataques de ransomware. La Fiscalía del Distrito Central de Seúl anunció en noviembre de 2023 que los cómplices que les prestaban asistencia en Corea del Sur fueron procesados. Según el anuncio, durante la investigación de los sospechosos, también se descubrieron registros de transferencias de fondos al Grupo Lazarus . ^{[ 56 ]} No está claro si está relacionado con la investigación en curso sobre el ransomware, pero según un informe de prensa de diciembre de 2023, el Tribunal Supremo de Corea afirmó haber sufrido un ciberataque por parte del Grupo Lazarus, que resultó en la filtración de datos confidenciales. ^{[ 57 ]}

Se presume que Fluffy participa en la distribución de diversos tipos de ransomware, desde Magniber y REvil hasta LockBit , aprovechando casos exitosos de ataques de tipo watering hole que han ejecutado. Por ejemplo, se cree que podrían estar implicados en incidentes como el ciberataque exitoso a la filial francesa de Toshiba en mayo de 2021, el supuesto ciberataque al Grupo Doosan en agosto de 2022 y el supuesto ciberataque al Servicio Nacional de Impuestos (Corea del Sur) en marzo de 2023. ^{[ 58 ]}

En ocasiones, emplearon métodos relativamente sencillos, como correos electrónicos, para la distribución del ransomware REvil (también conocido como GandCrab). El contenido de estos correos consistía generalmente en la suplantación de identidad de organismos policiales. Los remitentes eran dos menores de 19 años que afirmaban haber cometido dichos delitos en respuesta a una propuesta que decía: «Si participas en el envío de ransomware, compartiremos las ganancias». En el juicio celebrado en el Tribunal del Distrito Central de Seúl en agosto de 2021, fueron condenados a dos años y un año y seis meses de prisión, respectivamente. Uno de ellos ya había recibido una condena de diez años de prisión por participar en otra campaña.