Группа хакеров REvil, которую регулярно, но без доказательств, связывают с Россией, неожиданно и моментально закрыла все свои сайты в даркнете и интернете. Причины такого решения не установлены. Этот шаг REvil предприняла спустя меньше недели после разговора Путина и Байдена на тему кибератак на американские компании. REvil замешана во многих из них.
Известные хакеры растворились в воздухе
Хакерская группировка REvil, известная взломами десятков компаний с требованием выкупа, неожиданно исчезла со всех радаров. По данным Bloomberg, все ее сайты в даркнете и обычном интернете в одночасье перестали открываться.
Группировке REvil регулярно приписывают тесные связи с Россией и российскими властями. Нередко такие утверждения высказывают представители властей США, однако на момент публикации материала не существовало ни одного неопровержимого доказательства этой теории.
Эксперты Bloomberg обратили внимание на тот факт, что хакеры из REvil ушли в тень спустя меньше недели с момента разговора, состоявшегося между Президентом России Владимиром Путиным и Президентом США Джозефом Байденом (Joseph Trump). Главы государств 9 июля 2021 г. обсудили вопросы, напрямую связанные с лавиной хакерских атак, накрывшей американские компании в последние месяцы.
Хакеры такого не ожидали
На уход REvil в подполье обратил внимание и эксперт профильного портала Bleeping Computer Лоуренс Абрамс (Lawrence Abrams). «Все сайты REvil не работают, в том числе и те, где они обсуждали и получали выкуп (от жертв кибератак – прим. CNews)», – написал он в своем Twitter.
Абрамс сообщил также, что пользователи сайтов REvil тоже удивлены скоропостижным исчезновением группировки со всеми своими веб-ресурсами. Он опубликовал скриншот одного из таких сайтов, доказывающий, что их пользователей подобное тоже застало врасплох.
Один из участников такого портала решил даже обратиться с жалобой к администраторам сайта. Чем закончилась эта история, на момент публикации материала не было известно, как и не было известно то, как Абрамсу удалось заполучить скриншот неработающего сайта.
Вынужденный уход
После телефонного разговора с Владимиром Путиным 9 июля 2021 г. Джозеф Байден провел встречу с журналистами. По данным ВВС, он сообщил им, что не исключает возможность ответных кибератак на Россию, если REvil продолжит донимать американские компании.
По мнению эксперта компании Mandiant Threat Intelligence Джона Халтквиста (John Hultquist), хакеров заставили прекратить свою деятельность. «Все говорит о том, что REvil подверглась спланированному уничтожению ее инфраструктуры либо интернет-провайдерами, либо через отраслевые или правоохранительные меры», – заявил Халквист каналу CNBC.
Халквист подчеркнул, что если уход REvil в глухое подполье стал следствием какой-либо спецоперации, то подробности о ней никогда не станут достоянием общественности.
Возможная причастность США
Спустя несколько часов после телефонного разговора Путина и Байдена на тему кибербезопасности представитель Совета национальной безопасности сообщил журналистам, что власти США планируют в ближайшее время принять меры против различных группировок вымогателей. Подробностями о предстоящих операциях он делиться не стал. «Мы не собираемся сообщать, какими именно будут эти действия. Некоторые из них будут явными и видимыми, некоторые, наоборот, скрытыми. Но мы планируем реализовать их в ближайшие дни и недели», – заявил журналистам американский чиновник.
Власти США действительно готовят некую стратегию по борьбе с хакерами, промышляющими взломами с целью получения выкупа со своих жертв. Об этом 13 июля 2021 г. сообщил помощник Президента США по национальной безопасности Джейк Салливан. С его слов, США будут готовы обнародовать этот план до конца текущей недели (до 18 июля 2021 г.).
Скандально известная группировка
Название группировки REvil не имеет никакого отношения к играм и фильмам вселенной Resident Evil и расшифровывается как Ransomware Evil. У нее также есть второе намного менее известное название – Sodinokibi.
Сроки образования этой группировки, даже примерные, не установлены. Активность она начала проявлять в 2020 г., но наиболее продуктивной для нее стала первая половина 2021 г.
В списке жертв REvil есть множество корпораций с мировым именем, в том числе и Acer, производитель компьютерной техники. Как сообщал CNews, тайваньский вендор подвергся кибератаке со стороны REvil. Хакеры украли у него различные важные документы и потребовали $50 млн за их возвращение.
Месяц спустя от действий хакеров пострадали компании Apple, и Lenovo. REvil взломала сеть компании Quanta Computer и украла документацию, раскрывающую информацию о новых продуктах Apple и Lenovo, включая данные о ноутбуках и смарт-часах. За возвращение данных хакеры потребовали все те же $50 млн.
30 мая 2021 г. кибератаке подверглась компания JBS, один из крупнейших производителей мяса в мире. Ей даже пришлось приостановить производство. Через несколько дней Федеральное бюро расследований (ФБР) подтвердило причастность REvil к данному инциденту. В итоге JBS заплатила хакерам $11 млн в биткоинах в качестве выкупа.
В конце июня 2021 г. REvil атаковала компанию Sol Oriens, подрядную организацию, сотрудничающую с министерствами обороны и энергетики США по линии ядерных технологий. Хакеры пообещали слить украденные данные «военному ведомству по их выбору».
Начало июля 2021 г. оказалось для хакеров REvil весьма продуктивным периодом. Они организовали и провели успешную кибератаку на американскую компанию Kaseya, поставляющую мониторинговое ПО для MSP-провайдеров. Число пострадавших исчисляется тысячами (речь о клиентах Kaseya), и среди них есть крупная шведская торговая сеть Coop. Из-за атаки ей пришлось временно закрыть все 800 своих супермаркетов на несколько дней. Киберпреступники потребовали у Kaseya $70 млн выкупа.
