14 января 2022 года в ходе спецоперации ФСБ и МВД России по запросу властей США прошли следственные действия по 25 адресам в Москве, Санкт-Петербурге, Московской, Ленинградской и Липецкой областях. Были установлены 14 членов группы. У хакеров изъяли 426 млн. рублей, €500 тыс., $600 тыс., 20 автомобилей премиум-класса. Однако, 3 недели назад исследователи обнаружили активность серверов и блога REvil в TOR сети.
«Потенциальное возвращение REvil совпадает с завершением обсуждения вопросов кибербезопасности между США и Россией. Возможно, российские власти прекратили расследование в отношении группы или иным образом указали членам REvil на возможность возобновить свою деятельность после ареста нескольких участников в январе 2022 года», – сказал старший аналитик Digital Shadows по разведке киберугроз Крис Морган.
«Кто именно координирует возвращение REvil, неясно. Возможно, возрождению поспособствовал один из бывших участников REvil или тот, кто имеет доступ к исходному коду и инфраструктуре группы», – добавил Морган.
С момента возвращения группировки исследователи обнаружили несколько жертв атаки программы-вымогателя REvil. По словам эксперта по кибербезопасности Аллана Лиска, новые атаки кажутся не такими умелыми, как предыдущие атаки REvil.
По предположениям эксперта, возвращение может быть связано с тем, что бывшие участники используют исходный код вредоносного ПО REvil или сами организаторы группы проводят операции после длительного перерыва в работе. Согласно заявлению аналитика угроз Emsisoft Бретта Кэллоу, несколько пострадавших организаций были удалены с сайта REvil, что означает возобновление выкупа данных некоторыми компаниями.
«Время покажет, действительно ли REvil вернулась или текущую деятельность группы выполняет самозванец, стремящийся воспользоваться репутацией команды», – сказал аналитик Крис Морган.
Команда Secureworks Counter Threat Unit в понедельник
«Тот, кто сейчас управляет REvil, имеет доступ к исходному коду программы-вымогателя и частям старой инфраструктуры для поддержки ПО. Возможно, некоторые или все члены группы GOLD SOUTHFIELD были освобождены российскими властями и теперь они вернулись к работе. Может быть, не все члены были арестованы и возобновили операцию сами или с новыми участниками. Возможно, доверенный филиал GOLD SOUTHFIELD взял на себя управление операцией с разрешения группы. Именно так начинала сама группа GOLD SOUTHFIELD. Операторы Gandcrab, GOLD GARDEN вышли на пенсию и продали свою деятельность аффилированной группе под названием GOLD SOUTHFIELD», – сообщили в Secureworks.
По мере анализа дополнительных образцов и сравнения модификаций эксперты могут определить разработчика ПО на основании внесенных изменений и стиля кодирования.