Pensavamo di essercene liberati? Sbagliato! I cyber criminali di REvil, a quanto pare, si erano solo presi una pausa. Adesso sono tornati e hanno cominciato subito a darsi da fare.
Il gruppo, conosciuto anche con il nome di Sodinokibi, è tra i più conosciuti del settore ransomware ed è anche stato uno tra i primi (dopo i “colleghi” di Maze) a utilizzare sistematicamente lo schema della doppia estorsione: la prima per sbloccare i sistemi, la seconda per evitare che i dati rubati vengano resi pubblici.
La carriera di REvil, però, sembrava essersi conclusa lo scorso luglio, dopo un mega-attacco che ha sfruttato una vulnerabilità nel software Kaseya VSA per colpire più di 1.500 aziende con il loro ransomware.
Gli attacchi arrivavano in un momento particolare, segnato da forti tensioni tra Stati Uniti e Russia sul tema del cyber-crimine, tema su cui il presidente USA Joe Biden aveva chiesto formalmente un maggior impegno in chiave repressiva al suo omologo russo.
Proprio in quei giorni (il 13 luglio) i server e i siti di REvil erano improvvisamente scomparsi dai radar, facendo pensare che quello legato a Kaseya potesse essere stato l’ultimo, grande colpo della gang prima di ritirarsi dalle scene per evitare guai con le autorità.
Le cose, però, sembrano essere andate in maniera diversa. Stando ai post comparsi in questi giorni, la scomparsa di REvil non era dovuta a una strategia del gruppo, ma dalle vicende che hanno coinvolto un singolo membro della gang che, fino a quel momento, aveva svolto il ruolo di “rappresentante” del gruppo.
Unknown, questo il suo nickname sui forum che frequentava, sarebbe letteralmente sparito nel nulla e i suoi affiliati hanno temuto che fosse stato arrestato. Dopo un certo periodo di tempo, i programmatori del gruppo hanno deciso di ripristinare i sistemi e tornare in attività. A spiegarlo è stato il nuovo portavoce che invece si firma semplicemente REvil.
Ai messaggi che ne hanno annunciato il ritorno, il gruppo di cyber criminali ha affiancato la diffusione di una nuova versione del ransomware che li ha resi celebri e il ripristino delle richieste di riscatto (con un reset del conto alla rovescia) alle vittime già colpite.
Nei messaggi postati da REvil dopo il clamoroso ritorno, c’è anche un accenno alla vicenda legata al tool di decrittazione ottenuto da Kaseya alla fine di luglio. Il portavoce del gruppo nega che ci sia stato un intervento di polizia o autorità governative, ma sostiene che si sia trattato di un classico leak da parte di un affiliato.
Impossibile verificare le sue parole, ma il fatto che REvil sia vivo e vegeto è un indizio abbastanza chiaro del fatto che non ci sono stati arresti di massa.
