Gli esperti hanno analizzato un nuovo campione di malware e hanno confermato il ritorno di REvil
Sullo sfondo delle crescenti tensioni tra Russia e Stati Uniti, gli esperti hanno analizzato campioni del nuovo malware e hanno confermato il ritorno dei criminali informatici REvil con un nuovo ransomware.
Dopo l’inizio dell’invasione russa dell’Ucraina, REvil's TOR i siti iniziarono a rinascere, ma non avevano le vecchie informazioni, reindirizzavano i visitatori agli URL di un nuovo, gruppo di hacker ransomware senza nome.
Sebbene questi siti non fossero come i precedenti siti REvil, il fatto che la vecchia infrastruttura reindirizzasse a nuovi URL indica il ritorno del raggruppamento. però, a novembre, i messaggi "REvil is bad" iniziarono ad apparire sui siti web del gruppo. Tale accesso ai siti degli hacker parlava delle azioni delle forze dell'ordine o dei criminali informatici, quindi le pagine riproposte di REvil non possono servire come una prova forte del ritorno della banda.
L'unico modo per sapere con certezza se REvil era tornato era trovare un campione di ransomware e analizzarlo per determinare se era stato patchato o sviluppato dal codice sorgente. Il campione esatto del nuovo ransomware è stato scoperto questa settimana da AVAST ricercatore Jakub Krustek. L'analisi del campione ha confermato la connessione del gruppo senza nome con REvil.
Secondo gli analisti, il campione scoperto del virus è stato compilato dal codice sorgente REvil, e contiene anche nuove modifiche. Ricercatore di sicurezza R3MRUM ha twittato che il numero di versione del campione è stato modificato in 1.0, ma è una continuazione dell'ultima versione, 2.08, rilasciato da REvil prima che fosse distrutto.
Lo specialista non è riuscito a spiegare perché il virus non crittografa i file, ma ritiene che sia stato compilato dal codice sorgente.
Cambio di versione nel nuovo encoder REvil
Intel avanzata Amministratore delegato Vitaly Kremez ha inoltre esaminato il campione e ha confermato che era stato compilato dalla fonte il 26 aprile. Secondo lui, il nuovo campione REvil include un nuovo 'accs’ campo di configurazione contenente le credenziali della vittima attaccata.
Kremez ritiene che gli acc’ L'opzione di configurazione viene utilizzata per impedire la crittografia su altri dispositivi che non contengono gli account e i domini Windows corretti, consentendo attacchi mirati.
In aggiunta a “acc” parametro, i parametri SUB e PID utilizzati come Campaign e Branch ID sono stati modificati nella configurazione del nuovo sample REvil per utilizzare valori di tipo GUID più lunghi come “3c852cc8-b7f1-436e-ba3b-c53b7fc6c0e4”.
Computer che dorme ha anche testato un campione di ransomware e ha creato una richiesta di riscatto identica ai vecchi avvisi di riscatto REvil.
Richiesta di riscatto REvil
Il nuovo gruppo si fa chiamare “Sodinokibi“, tuttavia il nuovo sito è quasi identico al vecchio sito Revil.
Non sorprendentemente, REvil ha cambiato nome come parte della nuova operazione, soprattutto a causa del peggioramento delle relazioni tra Stati Uniti e Russia.
