REvil lijkt weer terug van weggeweest. De servers op het Tor-netwerk die de hackersgroep gebruikte om zijn malware mee te verspreiden, zijn weer online. De website vermeldt tientallen pagina’s aan slachtoffers.
Dat blijkt uit screenshots die verschillende beveiligingsonderzoekers hebben gemaakt, zo schrijft BleepingComputer.
REvil is terug van weggeweest
REvil is een hackersgroep die vanuit Rusland opereert. De groep staat erom bekend slachtoffers af te persen met ransomware. Met deze gijzelsoftware kopiëren ze vertrouwelijke en bedrijfsgevoelige informatie en worden deze bestanden bij hun slachtoffers achter slot en grendel geplaatst. Deze data zijn pas weer toegankelijk als gedupeerden losgeld betalen. Enkele prominente slachtoffers van het hackerscollectief waren geldwisselkantoor Travelex, vleesproducent JBS, ICT-dienstverlener Kaseya.
Opsporings- en handhavingsinstanties traden hard op tegen de Russische hackers. Vorig jaar zomer leek het alsof REvil van de aardbodem was verdwenen. Websites op het dark web en het reguliere internet waren spontaan op zwart gegaan. Ook de helpdesk was niet langer bereikbaar. Tot slot was Unknown, de woordvoerder van de hackersgroep, verbannen van het hackersforum XSS.
In september 2021 waren de Tor-betalingssite en de Happy Blog -waar slachtoffers over de hoogte van het losgeldbedrag kunnen onderhandelen- ineens weer in de lucht. Ook vonden er toen weer nieuwe ransomware-aanvallen plaats. Een maand later vertelde de FBI dat ze de gehele infrastructuur van REvil offline had gehaald. In de VS, Duitsland en zelfs Rusland waren diverse kopstukken gearresteerd.
Nieuwe slachtoffers en verdeelsleutel
Daarmee was het einde oefening voor REvil. Of toch niet? Cybersecurityexperts zeggen dat de hackersgroep weer actief is. Hun nieuwe website wordt veelvuldig genoemd op RuTOR, een forum dat zich richt op Russischsprekende hackers. De site wordt weliswaar gehost vanaf een ander domein, maar stuurt bezoekers door naar de originele site die REvil gebruikte voordat ze offline werd gehaald.
REvil belooft op de site dat de ransomware die de hackersgroep gebruikt een update heeft gekregen. Verder hanteert de groep een nieuwe verdeelsleutel voor de opbrengsten. Wie de gijzelsoftware van REvil gebruikt om cyberaanvallen uit te voeren, krijgt een aandeel van 80/20. Hackers die hun ransomware verhuren aan cybercriminelen om digitale aanvallen mee uit te voeren, noemen we ook wel Ransomware-as-a-Service (RaaS).
Verschillende beveiligingsonderzoekers en techsite BleepingComputer bevestigen dat de website van REvil 26 pagina’s aan slachtoffers bevat. Naar eigen zeggen staan er voornamelijk oude slachtoffers in de lijst, maar ook een aantal nieuwkomers. Eén daarvan is Oil India.
Honeypot
Experts zeggen dat de website van REvil waarschijnlijk ergens tussen 5 en 10 april opnieuw online is gegaan. De site had toen nog geen content. Inmiddels zijn de Happy Blog en pagina waar slachtoffers losgeld kunnen betalen weer in de lucht.
De securityexperts zijn enigszins sceptisch of REvil hierachter zit. Degene die de websites heeft gelanceerd, heeft geen naam of verbintenis met REvil genoemd. Om met zekerheid vast te stellen dat de Russische hackersgroep ‘uit de dood’ is opgestaan, moet de malware van nieuwe slachtoffers geanalyseerd worden.
Op het Russische forum RuTOR speculeren leden dat de nieuwe site een list is van opsporingsdiensten om hackers op te sporen en arresteren. Dat noemen we ook wel een honeypot. Mocht REvil inderdaad verantwoordelijk zijn voor de herlancering van de sites, dan heeft het nog een lange weg te gaan om het vertrouwen terug te winnen van de community, zo zeggen enkele forumleden.
