Il demone REvil, il ricattatore in franchising

Leggenda

Nato nel 2019 come probabile erede di GandCrab, offriva il suo ransomware in affitto agli affiliati e adottò in grande la doppia estorsione: cifrare e minacciare di pubblicare. Nel luglio 2021, attraverso Kaseya VSA, colpì fino a 1.500 aziende in un colpo solo. Fu colpito a fine 2021 dall'Operazione GoldDust, che portò ad arresti di affiliati.

Esorcismo

Si esorcizza controllando la catena di fornitura: gli strumenti di gestione remota dei fornitori sono porte di casa. Si aggiornano subito i prodotti esposti e si tengono backup che un attaccante non possa cancellare.

Scheda tecnica

Noto anche come: Sodinokibi, Sodin
Girone: III girone · Ransomware ed estorsione
Prima apparizione: 2019
Stato: Esorcizzato (Operation GoldDust, 2021-11-08)
Opere: Il flagello di Kaseya · Il miracolo della chiave universale

A ransomware-as-a-service operation run by GOLD SOUTHFIELD that emerged in 2019 as the likely successor of GandCrab and embraced double extortion at scale. Its July 2021 attack via Kaseya VSA hit up to 1,500 businesses. Affiliates were arrested in Romania and elsewhere in Europol's Operation GoldDust in November 2021, and Russia's FSB detained members in January 2022.

Fonti: attack.mitre.org · attack.mitre.org · europol.europa.eu · justice.gov · Riferimento MITRE ATT&CK S0496