Ransomware-serverne er på mystisk vis kommet online igjen og ingen vet hvem som har trykket på knappen.
Dekrypteringsnøkkel med grupperabatt
REvils dark web-servere er skrudd på igjen etter nesten to måneders fravær. Hvem som har trykket på knappen vet vi ikke – det kan være løsepengevirus-banden selv, men det kan også være politiet.
2. juli brukte REvil alias Sodinokibi, en sårbarhet i fjernstyringsprogramvaren for Kaseya VSA til å kryptere rundt 60 tjenesteleverandører og mer enn 1500 av deres bedriftskunder. REvil krevde 43 millioner kroner for dekrypteringsverktøyet eller 400 000 kroner for hver kryptert utvidelse hos de enkelte virksomhetene, alternativt 600 millioner kroner for en universal dekrypteringsnøkkel for alle Kaseyas ofre, men ga etterhvert grupperabatt på 170 millioner kroner.
USA trodde de hadde skremt russerne
Etter angrepet ble banden utsatt for press fra politiet og Det hvite hus advarte om at USA ville ta affære om ikke Russland stanset trusselaktører innenfor egne grenser.
Annonse
Like etter forsvant REvil og alle Tor-serverne, og infrastrukturen deres ble lukket ned. Hva som skjedde er ikke klart, men at bandittene forsvant skapte paradoksalt nok en vanskelig situasjon for de av ofrene som ønsket å forhandle. De satt igjen uten noen forhandlingspartner å forholde seg til – og uten mulighet til å gjenopprette systemene sine. Det mest aktuelle offeret var lagt til bare fem dager før REvils mystiske forsvinningsnummer.
Mystisk “pålitelig tredjepart”
På mystisk vis mottok Kaseya etter en tid hoveddekrypteringsnøkkelen til angrepsofrene “fra en pålitelig tredjepart”. Det ble spekulert i at russisk etterretning hadde tilegnet seg nøkkelen og som en velvillig gest gitt den videre til FBI.
ITavisen skrev om det:
Hvem har tatt ned nettsidene til den russiske hacker-ligaen REvil?
Forleden var REvils Tor-tjenester for betaling og forhandling og ‘Happy Blog’ datalekkasjer plutselig tilbake på nettet.
Online, men tuklet med?
Datalekkasje-siden er oppe og går og ser ut til å fungere som den skal, men forhandlingssidene ser ut til å være tuklet med og er ikke fullt operativ. Påloggingsskjermen kommer opp, men den tillater ikke ofrene å logge inn. REvils decoder.re/ er fremdeles offline.
Annonse
