Nhóm tin tặc khét tiếng REvil xuất hiện trở lại sau thời gian ngắn biến mất

Các nhà nghiên cứu bảo mật cho biết tất cả các trang web đen liên quan đến nhóm ransomware, bao gồm trang thanh toán, trang công khai của nhóm, dịch vụ hỗ trợ "helpdesk" và cổng đàm phán của chúng đã ngoại tuyến vào ngày 13/7 sau khi cuộc tấn công Kaseya thu hút sự lên án trên toàn thế giới và nhận lấy những lời đe dọa cứng rắn từ các nhà lập pháp Mỹ.

Các thông tin cho rằng, Tổng thống Mỹ Joe Biden đã nói chuyện riêng với Tổng thống Nga Vladmir Putin sau vụ tấn công, và nhiều người cho rằng nhóm REvil đã dừng các hoạt động sau khi ông Biden cáo buộc Putin về các cuộc tấn công ransomware xuất phát từ Nga.

Bất chấp cuộc trò chuyện, cả chính quyền Mỹ và quan chức Nga đều phủ nhận mọi liên quan đến vụ mất tích của nhóm REvil vào tháng 7/2021.

Tuy nhiên, vào ngày 7/9 vừa qua, hàng chục nhà nghiên cứu bảo mật đã công bố trên các phương tiện truyền thông xã hội cho thấy "Happy Blog" của nhóm tin tặc và các trang khác được kết nối với nhóm REvil đã xuất hiện trở lại.

Các nhà nghiên cứu bảo mật từ các công ty bảo mật Recorded Future và Emsisoft đều xác nhận rằng phần lớn cơ sở hạ tầng của nhóm đã trực tuyến trở lại.

Chuyên gia về ransomware Allan Liska nói với ZDNet rằng, hầu hết mọi người đều cho rằng REvil sẽ quay trở lại, nhưng với một cái tên khác và một biến thể ransomware mới.

Một báo cáo từ công ty bảo mật BlackFog về các cuộc tấn công ransomware vào tháng 8 cho thấy nhóm REvil chiếm số lượng lớn nhất, với hơn 23% các cuộc tấn công mạng mà họ đã theo dõi.

REvil đã tấn công ít nhất 360 tổ chức có trụ sở tại Mỹ trong năm nay, theo Brett Callow, nhà phân tích mối đe dọa an ninh mạng của công ty bảo mật Emsisoft. Trong khi đó, trang nghiên cứu RansomWhere cho biết nhóm tin tặc này đã thu về hơn 11 triệu USD trong năm nay, với các cuộc tấn công nổi tiếng nhằm vào các công ty như Acer, JBS, Quanta Computer và nhiều công ty khác.

Việc nhóm REvil mất tích vào tháng 7 đã khiến một số nạn nhân rơi vào tình thế khó khăn. Mike Hamilton, cựu Giám đốc an toàn thông tin (CISO) của thành phố Seattle, Mỹ và hiện là CISO của công ty xử lý ransomware Critical Insight cho biết, một công ty đã trả tiền chuộc sau cuộc tấn công Kaseya và nhận được các khóa giải mã từ REvil nhưng các khóa giải mã này không hoạt động.

REvil thường cung cấp một chức năng bàn trợ giúp để hỗ trợ nạn nhân lấy lại dữ liệu của họ.

Ông Mike Hamilton cho biết thêm: "Sau khi trả tiền chuộc, các công ty sẽ nhận được khóa giải mã để sử dụng chúng nhưng một số khóa giải mã này đã không hoạt động. Những băng đảng ransomware này có thể hỗ trợ các công ty giải mã dữ liệu thông qua bàn trợ giúp ảo. Tuy nhiên, việc đột nhiên biến mất của nhóm REvil và không nhận được sự trợ giúp của nhóm tin tặc đã khiến cho các công ty gặp bế tắc. Họ sẽ mất rất nhiều dữ liệu và cuối cùng họ sẽ phải chi rất nhiều tiền để xây dựng lại hoàn toàn mạng dữ liệu của mình từ đầu".