Il 9 settembre, una nuova versione del ransomware REvil è stata caricata su VirusTotal, compilata il 4 settembre.
Il gruppo ransomware REvil, scomparso alla vista pochi mesi fa, è tornato in attività e sta attaccando nuovamente le aziende. I primi segni di gruppi di attività sono apparsi la scorsa settimana, quando il portale REvil in darknet ha nuovamente pubblicato.
REvil è entrato nella scena del ransomware nel 2019 ed è diventato ampiamente noto per gli attacchi a numerose grandi aziende, tra cui JBS e Kaseya, da cui hanno chiesto riscatti multimilionari per recuperare i dati crittografati.
Il gruppo ha spento la sua infrastruttura web dopo un attacco su larga scala alla società americana Kaseya, che ha colpito migliaia di imprese in diversi paesi del mondo. Il ransomware ha richiesto alla società 50 milioni di dollari per un decryptor universale. Alla fine di luglio, Kaseya ha annunciato di aver ricevuto la chiave di decrittazione da una “parte terza” non nota.
Per quasi due mesi non si è saputo nulla del gruppo, ma il 7 settembre il sito di pagamento e il sito di leak REvil sono tornati online con lo stesso elenco di vittime, e il 9 settembre è stata caricata una nuova versione del ransomware REvil su VirusTotal, compilato il 4 settembre.
Secondo un messaggio su uno dei forum degli hacker, il gruppo ha un nuovo rappresentante pubblico al posto dell’amministratore di REvil, che usa lo pseudonimo Unknown (o UNKN). Secondo un nuovo portavoce noto come REvil, il gruppo ha temporaneamente cessato le operazioni a causa del sospetto che Unknown sia stato arrestato e che i server siano stati compromessi. Ha anche affermato che il decryptor universale ottenuto da Kaseya è semplicemente “trapelato” a causa di un errore durante la generazione della chiave e non dopo un’operazione delle forze dell’ordine, come si pensava in precedenza.
A questo punto, non è chiaro esattamente come stia REvil. Secondo uno degli operatori, il gruppo è semplicemente andato “in vacanza”. Comunque sia, REvil è tornato di nuovo in attività, il che significa che dobbiamo aspettarci nuovi attacchi.
