El grupo de ransomware REvil está de vuelta para vengarse

El grupo de ransomware REvil está nuevamente en funcionamiento con una nueva infraestructura y un cifrador modificado después de que supuestamente se cerró el año pasado. En octubre de 2021, la notoria banda de ransomware se cerró después de que una operación policial secuestrara sus servidores Tor. Luego, varios de sus miembros clave fueron arrestados por el FSB de Rusia.
Comparta sus opiniones sobre ciberseguridad y obtenga una copia gratuita del Manual del hacker 2022 strongAyúdenos a descubrir cómo se están preparando las empresas para el mundo posterior a la COVID-19 y las implicaciones de estas actividades en sus planes de ciberseguridad. Ingrese su correo electrónico al final de esta encuesta para obtener el bookazine, por un valor de $10.99/£10.
99. A medida que la invasión de Rusia a Ucrania agrió las relaciones entre Rusia y los EE. UU., el gobierno de los EE. UU. siguió adelante y cerró unilateralmente el canal de comunicación que tenía sobre seguridad cibernética con Moscú. Como resultado, EE. UU. también se retiró del proceso de negociación sobre REvil.
Si bien por un momento pareció que REvil había cerrado la tienda definitivamente, la antigua infraestructura Tor del grupo recientemente comenzó a operar nuevamente. Sin embargo, en lugar de mostrar sitios web antiguos, sus servidores Tor redirigen a los visitantes a URL para una nueva operación de ransomware sin nombre según un informe de BleepingComputer. Los sitios web se redireccionan todo el tiempo, por lo que encontrar una nueva muestra del cifrador de ransomware de REvil y analizarlo es la única forma de saber si el grupo de ciberdelincuentes realmente ha regresado o no.
Afortunadamente, el director de investigación de malware de Avast, Jakub Kroustek, encontró recientemente una muestra del cifrador utilizado por el nuevo grupo de ransomware que puede o no ser REvil. Vale la pena señalar que otras operaciones de ransomware han usado el encriptador de REvil en el pasado, pero todas usaron ejecutables parcheados en lugar de tener acceso directo al código fuente del grupo. Múltiples investigadores de seguridad y analistas de malware que hablaron con BleepingComputer han confirmado que esta nueva muestra se compila a partir del código fuente de REvil, aunque incluye algunos cambios nuevos.
En una publicación en Twitter, el investigador de seguridad R3MRUM dijo que aunque el número de versión de la muestra es 1.0, en realidad es una continuación de la última versión del cifrador de REvil (2.08) que se lanzó antes de que se cerrara el grupo.
Leer más Los fuertes pagos de ransomware alcanzaron un nuevo máximo histórico el año pasado Los trabajadores de TI fuertes creen que el ransomware es tan grave como el terrorismo > Estas actualizaciones falsas de Windows 10 lo llevarán a una infección de ransomware El CEO de Advanced Intel, Vitali Kremez, también pudo aplicar ingeniería inversa a la muestra en cuestión y confirmó a BleepingComputer que se compiló a partir del código fuente el 26 de abril y no se parchó. Aunque el representante público original de REvil conocido como "Desconocido" sigue desaparecido, el investigador de inteligencia de amenazas FellowSecurity le dijo al medio de comunicación que uno de los desarrolladores principales originales del grupo de ransomware había relanzado la operación con un nuevo nombre. En este momento, todavía no sabemos a qué se refiere esta versión renombrada del grupo de ransomware REvil, pero ahora que REvil está de regreso, espere ver más ataques de alto perfil en objetivos importantes y valiosos en todo el mundo.
Vía BleepingComputer.