ما هو REvil ، مجموعة برامج الفدية التي تم تفكيكها من قبل روسيا بناءً على طلب الولايات المتحدة
تم تفكيك مجموعة Ransomware REvil من قبل السلطات الروسية يوم الجمعة بناءً على طلب من الوكالات الحكومية الأمريكية. وفقًا لتقرير صادر عن رويترز ، قال جهاز الأمن الفيدرالي في الاتحاد الروسي (FSB) في بيان إن مجموعة المجرمين الإلكترونيين “لم تعد موجودة” بعد عملية إنفاذ أخيرة.
يأتي هذا الإعلان في الوقت الذي كانت فيه أوكرانيا ترد على هجوم إلكتروني واسع النطاق أدى إلى إغلاق المواقع الحكومية ، على الرغم من عدم وجود ما يشير إلى أن هذه الحوادث ذات صلة. هنا نلقي نظرة فاحصة على عصابة REvil ransomware وعملها.
من / ما هو REvil؟
اسم REvil هو مزيج من “رانسومواري” و “شر”. المجموعة هي منظمة قرصنة مقرها روسيا. قام باحثو الأمن سابقًا بتسمية عائلة البرامج الضارة الخاصة بالمنظمة باسم REvil / Sodinokibi أو REvil.Sodinokibi.
تقوم عصابات مثل REvil بنشر برنامج الفدية ، وهو في الأساس عبارة عن فيروس يحظر الملفات ويقوم بتشفير الملفات بعد الإصابة. بعد سرقة البيانات وجعلها غير قابلة للوصول إلى الضحية ، ترسل المجموعة رسالة طلب فدية إلى الضحايا. تطالب الرسالة عادةً بدفع الفدية بالعملات المشفرة مثل Bitcoin. إذا لم يتم دفع الفدية في الوقت المناسب يتضاعف الطلب. يرجع سبب تفضيل العملات المشفرة إلى عدم الكشف عن هويته وسهولة الدفع عبر الإنترنت.
ستسرق مجموعة REvil البيانات من أجهزة الكمبيوتر ، وتغلق على الضحايا من أجهزة الكمبيوتر الخاصة بهم ، ثم تهدد بالإفراج عن البيانات المسروقة عن طريق بيعها بالمزاد. هذه تقنية فريدة لممارسة ضغط إضافي على الضحايا.
عملت REvil أيضًا كشركة تجارية وباع تقنية القرصنة من بين أدوات أخرى لقراصنة الطرف الثالث. سيؤجر أعضاء REvil برنامج الفدية هذا إلى مجموعات قرصنة أخرى حتى يمكن تنفيذ هجوم مماثل. سوف يقدمون برامج الفدية كخدمات (RaaS). في مقابل استخدام خدمات REvil والبرامج الضارة ، ستقوم المجموعة بقطع كبير من أي مدفوعات فدية من المجموعة الأخرى.
ومن المثير للاهتمام ، أن بعضًا من أكثر هجمات رانسوم وير هذا العام شهرة تم تنفيذها من خلال مجموعات RaaS ، بما في ذلك مجموعات هجوم برمجيات الفدية في مايو ضد كولونيال بايبلاين ، شركة خطوط أنابيب نفط أمريكية ، حيث استأجر المجرم الإلكتروني خدمة REvil.
تم ربط عصابة برامج الفدية بهجمات بارزة ، بما في ذلك ضد شركة Quanta التايوانية التي تبيع معدات مركز البيانات لشركة Apple. قالت REvil إنها تمكنت من سرقة بيانات حساسة من تصميمات كمبيوتر تشبه Apple وطالبت بفدية قدرها 50 مليون دولار. ومع ذلك ، كما ذكرت شركة MacRumors المتخصصة في نشر التكنولوجيا في أبريل ، “أزال REvil بشكل غامض جميع المراجع المتعلقة بمحاولة الابتزاز من مدونة الويب المظلمة الخاصة به.” حتى الآن ، ليس من الواضح ما إذا كانت Apple أو Quanta قد دفعت الفدية.
وتجدر الإشارة إلى أنه على عكس المتسللين الذين ترعاهم الدولة ، فإن REvil لها دوافع مالية بحتة. حصلت المجموعة سيئة السمعة أيضًا على الفضل في اختراق شركة المحاماة في نيويورك Grubman و Shire و Meiselas & Sacks ، بدعوى حصولها على وثائق تتعلق بالرئيس السابق دونالد ترامب.
اغلاق REvil
في عملية مشتركة ، فتشت الشرطة و FSB 25 عنوانًا ، واحتجزت 14 شخصًا ، وصادروا 426 مليون روبل (حوالي 40 كرور روبية) ، و 600 ألف دولار (4 كرور روبية تقريبًا) ، و 500 ألف يورو ، ومعدات كمبيوتر ، و 20 سيارة فاخرة.
وبحسب رويترز ، حددت محكمة في موسكو هوية المتهمين وهما رومان مورومسكي وأندريه بيسونوف وأعادت احتجازهما لمدة شهرين. كان Muromsky مطور ويب قام بتصميم مواقع الويب لمتجر يسمى “Motohansa” يبيع قطع غيار الدراجات النارية.
“إنه شخص ذكي ويمكنني أن أتخيل أنه إذا أراد القيام بذلك (القرصنة) يمكنه ذلك ، لكنه كان يتقاضى القليل من المال مقابل خدماته. قبل عدة سنوات كان لديه سيارة روفر. ونقلت رويترز عن سيرجي صاحب المحل. مورومسكي في الثلاثينيات من عمره وولد في أنابا في جنوب روسيا حيث كان يعمل مبرمجًا عاديًا “. وبحسب التقرير ، تم توجيه تهم إلى أعضاء المجموعة وقد يواجهون عقوبة تصل إلى سبع سنوات في السجن.
في وقت سابق ، في نوفمبر ، تقرير صادر عن شركة الأمن السيبراني سوفوس أظهرت أن برامج الفدية ، التي تغذيها العملة المشفرة ، شاركت في 79 بالمائة من حوادث الأمن السيبراني العالمية في الفترة من 2020 إلى 2021. كانت هجمات Conti و REvil Ransomware على رأس القائمة ، كما يشير Sophos.
