還原最神秘的黑客組織—REvil

REvil 突然從暗網消失了。

7 月 13 日開始，這個全球臭名昭著的勒索軟體組織旗下曾經極度活躍的那些勒索頁面、支付入口以及聊天功能，訪問時返回的只是「找不到具有指定主機名的伺服器」。

英國廣播公司（BBC）14日援引一名自稱是 REvil 黑客成員的話稱，FBI 停用了 REvil 網頁的部分功能，因此他們乾脆將網頁徹底關停。他還稱，該組織也受到來自克里姆林宮的壓力，「俄羅斯已經厭倦了美國和其他國家向他們哭訴」。

在這之前，美國總統拜登要求俄羅斯總統普京對 REvil 採取行動，而克里姆林宮發言人佩斯科夫則要求美國拿出黑客在俄羅斯領土活動的證據。

為什麼美國緊盯著 REvil 不放？這還要從 REvil 索要史上最高贖金 7000 萬美元，一場竹籃打水一場空的勒索。

贖金「團購價」，REvil破勒索記錄

Kaseya 是一家來自瑞典的 IT 公司，於 1999 年獲得了美國專利局認證的 Kaseya VSA（虛擬系統管理）專利和連接演算法專利。

Kaseya VSA 是一個基於雲的 MSP 平台，MSP 是一種通過建立自己的網路運作中心（NOC，Network Operating Center）來為企業提供 24×7×365 的系統管理服務的業務。MSP 可以實現遠程的管理、實時的監控和對企業系統運作情況的統計。

Kaseya 在全球已經擁有了超過 10000 家客戶，其中 50% 以上的全球 100 強 IT 管理服務提供商及各大龍頭企業，分別來自銀行業、金融業、零售業、貿易業、教育機構、政府機構、醫療機構和交通運輸業等領域。截止 2011 年底，全球有超過 1300 萬台以上的終端和設備通過 Kaseya 的軟體進行管理。

正是因為很多大型企業和技術服務供應商都選擇使用 Kaseya VSA，Kaseya 才被選中成為此次的攻擊對象。

因為對於勒索軟體團伙來說，MSP 實在是一個高價值的「獵物」。通過 MSP，可以通過單一漏洞感染許多公司的渠道，但發起攻擊需要黑客對 MSP 及其使用的軟體有深入了解。REvil 可是深諳此道。

REvil 擁有一個專門針對 MSP 的技術分支機構，長期以來一直針對這些公司及其常用軟體進行研究。與其他勒索軟體一樣，REvil 的勒索軟體會鎖住受害者的電腦，直到受害者以他們要求的形式支付贖金。

被勒索企業終端界面示例

REvil 為此次攻擊精心準備過。

通常，大規模勒索軟體都將攻擊時間放在周末的深夜，因為在那個時間段監控網路的人員最少。然而這次，REvil 反其道而行之，選擇在周五中午 10 時 – 12 時發起攻擊，因為在工作日，購買 Kaseya 服務的企業（大都分布在歐洲、美洲）都在工作狀態，可以將勒索攻擊的效果最大化，同時周五又是員工們周末之前最松解的時間，工作效率並不高，很大程度上不會在第一時間對攻擊作出防禦反應。

REvil 精心策劃的攻擊實施得相當順利。

7 月 2 日周五中午開始，Kaseya 陸續收到了客戶報告，報告顯示 Kaseya VSA 本地產品管理的端點出現了異常狀況。基於報告， Kaseya 執行團隊發現勒索軟體正在端點上執行。他們向本地客戶發送通知，要求用戶關閉他們的 VSA 伺服器，同時關閉 Kaseya 的 VSA SaaS 基礎設施。

可惜他們的反應還是慢了一步。

REvil攻擊路徑

通過調查，Kaseya 的安全團隊發現勒索軟體使用了 Kaseya VSA 中的一個漏洞，並宣布將儘快發布補丁。

在 Kaseya VSA 伺服器淪陷後，勒索軟體隨即被部署到其他使用 Kaseya 遠程桌面管理軟體的公司。由於 Kaseya 的客戶中有大型 IT 服務供應商，這些公司又會為數百間公司提供外包 IT 服務，預估受影響的公司多達數千家，遍布英國、加拿大和南非等至少 17 個國家。

根據 REvil 於 7 月 4 日在暗網博客上發布的信息，聲稱已經鎖定了超過 100 萬個系統或終端，並要求 7,000 萬美元「團購價」贖金，以 BTC 形式支付。按照網頁形式，收到贖金後，REvil 將發布解密器，可在 1 小時內解密所有被鎖住的系統/終端。

REvil在暗網的博客頁面

根據參與此次事件響應的安全公司之一 Huntress 的數據表明，此次網路攻擊是 REvil 有史以來發起的規模最大的一次攻擊，超過 3100 個暴露在公網的 Kaseya VSA 伺服器，其中包括中國香港的 9 台伺服器，50 余個 MSP 及超過 1000 家下游企業受影響。並且可能已導致全球多達 4 萬台電腦被感染。

受害者分布，顏色越深數量越多受影響越大

美國弗吉尼亞理工大學、瑞典Coop雜貨連鎖店、瑞典國有鐵路運營商SJ、義大利Miroglio group、美國零售Extenda Retail 均在被影響之列，英國時尚品牌French Connection、巴西醫療診斷公司Grupo Fleury、西班牙電信運營商 MasMovil Ibercom 均在被勒索的行列。

事情到了這個地步，就已經不是一兩家企業與黑客組織之間的事情了。

7 月 4 日，美國總統拜登下令啟動全面的聯邦調查。9 日，拜登與普京進行了通話。通話後拜登告訴媒體：「我對他明確的表態，美國希望俄羅斯能夠對它國境內的勒索軟體組織立刻採取行動，即便這個組織不是由國家贊助的。美國可以為此提供充足的攻擊者的信息。」拜登後來補充道：「如果普京不這樣做，美國將關閉該組織的伺服器」。

而據俄塔社報道，佩斯科夫當天表示，克里姆林宮對 REvil 從暗網中消失的原因並不知情。他強調，俄羅斯認為任何網路犯罪都是不可接受的。「俄羅斯和美國應該合作打擊這一犯罪。不幸的是，我不掌握有關該團體的詳細信息。但俄羅斯和美國已開始就打擊網路犯罪進行雙邊磋商。」

業內「勞模」，酷愛「頂風作案」

7000 萬美元贖金，聽上去是一個天文數字，但這不是 REvil 第一次獅子大開口了。

REvil 也被稱為 Sodinokibi。由於勒索病毒代碼源自曾經最大的 RaaS（勒索軟體即服務）運營商 GandCrab 的「Sodinokibi」病毒，REvil 一直被視作 GandCrab 的「接班人」。

「名師「出」高徒「。起點夠高，REvil 的膽子也更大。

因為從服務於全球影視娛樂巨星的律師事務所—— Grubman Shire Meiselas & Sacks 竊取了近 1TB 的信息，使 REvil「一戰成名」。自此之後，REvil 的名字就與Lady Gaga、埃爾頓·約翰、羅伯特·德尼羅和麥當娜等知名巨星緊緊聯繫在了一起。

2020 年 5 月，REvil 聲稱破譯了其時美國總統唐納德·特朗普旗下公司用於保護其數據的橢圓曲線密碼術，並為他們盜竊的數據索要 4200 萬美元的贖金。

打出名號之後，作為黑客界的「Super Star」，REvil 的犯案頻率簡直可以被評為業界「勞模」，僅 2021 年就憑藉其每月至少一起的作案頻率常年佔據頭版頭條。

• 3 月，REvil 附屬組織在網路上聲稱，他們已從跨國硬體和電子公司宏碁安裝勒索軟體並盜取大量數據，並為此索取5000萬美元的贖金；
• 3 月，REvil 攻擊哈里斯聯盟，並在其博客上發布了聯盟的多份財務文件；
• 4 月，REvil 竊取了廣達電腦即將推出的蘋果產品的計劃，並威脅要公開發布這些計劃，除非他們收到 5000 萬美元作為贖金；
• 5 月，全球最大肉類供應商 JBS 受到 REvil 勒索軟體的攻擊，該公司不得不將所有美國牛肉工廠暫時關閉，並中斷了家禽和豬肉工廠的運營。最終，JBS 還是向 REvil 支付了 1100 萬美元的比特幣贖金；
• 6 月，全球再生能源巨擘 Invenergy 證實其作業系統遭到了勒索軟體的攻擊，REvil 聲稱對此事負責。

對 REvil，各國政府也是深惡痛絕，多次下令進行嚴厲打擊，美國尤甚。

在 5 月遭受 REvil 攻擊，JBS Foods 公司在美加工廠全部關停。而作為全球最大的牛肉和家禽生產商、全球第二大豬肉生產商，JBSFoods 肩負著美國、澳大利亞、加拿大、英國等地業務肉食供應的大宗供應。美國加工廠的關停會直接導致至少美國境內短期的肉食產品供應短缺。

如果說經濟和民生上短暫的波動還不足以撼動白宮的神經，那麼國土安全就是頭號大事了。

美國能源部（DOE）的分包商與國家核安全局（NNSA）合作開發核武系統的 Sol Oriens 公司在 6 月遭遇勒索病毒攻擊。經過比對，專家稱「攻擊來自 REvil 勒索軟體」。

來源：https://threatpost.com/revil-hits-us-nuclear-weapons-contractor-sol-oriens/166858/

安全研究員稱，Sol Oriens 公司被入侵，可能來源於 RDP 服務被 REvil 弱口令爆破攻擊。

攻擊肉製品加工企業，會導致城市肉食供應受影響；而針對國防承包商的攻擊活動，誰知道被攻擊者拿走多少絕密文件呢？ 也無怪乎美國要對 REvil 「追著打」。

不過 REvil 有恃無恐，否則也不會 7 月僅僅過去兩天，就迫不及待地對 Kaseya 出手了。

不過結局大家也已經知道了，現在 REvil 在暗網的網站和應用，都處於關停狀態。

勒索犯「跑路」，被勒索的企業何去何從

黑客組織傾向于勒索比特幣作為贖金。這其中最廣為人知的，就是 REvil 要求 Kaseya 支付 7000 萬美元比特幣的這起案件。

事實上，比特幣不是黑客組織的的唯一選擇。REvil 就曾經要求以門羅幣 Monero 作為贖金。

一旦 REvil 惡意軟體進入計算機系統，會加密所有受害者儲存在終端的文件，然後留下一個包含贖金記錄的文本文件。這個文本會引導受害者到 Tor（通常用於託管暗網的匿名互聯網）上的網站（受害者門戶），等待下一步指示。

受害者門戶網站將顯示贖金要求，比如這個是價值 50,000 美元的門羅幣。如果贖金未在特定時間範圍內支付，贖金將翻倍至 100,000 美元。

受害者門戶網站甚至還為這些被勒索的傳統企業提供了有關可以在哪裡購買門羅幣，以及應該將其發送到哪裡的說明：

該門戶還允許受害者通過「聊天支持」選項卡直接與 REvil 交談。在這裡，受害者（藍色）可以發起與 REvil（綠色）的對話，協商贖金。

如何能讓受害者相信一個黑客組織？REvil 簡直不要太專業。

他們會提供一個試用功能，受害者可以提供幾個加密文件，REvil 解密後將文件返還，以此來確認受害者沒有找錯人，並證明他們確實有能力提供解密器。

難以想像的是， REvil 居然「接受小刀」（打折）。受害者先是爭取了 20% 的折扣，繼而經過了一系列你來我往，最終同意支付 25,000 美元的贖金，在原價的基礎上整整打了 5 折。

而且，REvil 不強求受害者一定要用門羅幣來支付，因為他們發現門羅幣的知名度太差了，知道門羅幣的受害者和支持門羅幣流通的交易平台都太少。於是，如果受害者要求用比特幣支付，REvil 會同意。而且從 Kaseya 的案件中來看，REvil 後期會直接索要比特幣作為贖金。

一旦支付了贖金，受害者門戶就會更新以提供對解密器的訪問。（當然，不能 100% 保證一定會提供這樣的工具）

對於受害者來說，與 REvil 接觸的過程已經全部完成，他們可以使用解密器工具重新獲得對其文件的訪問許可權。這就是一套完整 REvil 索要贖金的過程。

那麼在 Kaseya 事件中，有企業支付贖金嗎？答案是：有。目前已經統計到的數據中，部分受害者向 REvil 支付了共計 45,000 美元的贖金。

勒索軟體修復公司 Critical Insight 信息安全官 Mike Hamilton 表示，公司的一位不願透露姓名的客戶，就是為數不多的向 REvil 勒索軟體組織支付贖金的 Kaseya 受害者之一。

而現在 REvil 突然關停，消失在茫茫網路中，支付贖金和未支付贖金的受害者們，又將何去何從？

Mike Hamilton 透露，用戶找到了保險公司支付了贖金，也拿到了解密器，發現解密器並非對所有的被加密的文件都有效。這個時候卻發現 REvil 的網站全部都下線了。

“They’re going to end up losing a lot of data and they’re going to end up spending a lot of money to completely rebuild their network from scratch.”

勒索軟體專家 Allan Liska 認為，這是由於 REvil 的解密器管理混亂造成的。

My guess is [REvil] has shit decryptor key management so they may not know which key to give out to each individual victim.

無論是否交付過贖金，擺在受害企業和個人面前的，都是被一堆被加密的文件，和消失的黑客。

當然，勒索軟體修復相關的機構和企業都在積極地幫助那些日常未及時備份數據的受害企業，但並不是所有企業都能等得起，畢竟在商業遊戲里，時間就是金錢。

最後

REvil「閉麥」，但人們的猜測還沒有停下。

有些人認為 REvil 這一次是被永久關停，沒有機會再復出，有些人相信這是美俄聯合打擊網路犯罪的國際合作成果，也有一些人，認為 REvil 只是全員休假，畢竟 2021 年的上半年他們高強度作案已經賺得盆滿缽滿，沒有理由不在風聲緊的時候去享受一下沙灘紅酒的美妙人生。

雖然目前 REvil 不在江湖，但勒索軟體組織和黑客組織還有很多。只要互聯網依然存在，關於網路安全的攻防雙方的對抗，就會始終存在。而各國也在加緊網路安全領域的聯合協作工作。

前有境內 141 萬名醫生的個人信息和聯繫方式被盜取公開售賣，後有最大燃油管道運營商 Colonial 系統被入侵被迫關閉了整個管道系統，現在又添了肉類供應商 JBS 和辦公網路服務商 Kaseya 被勒索的案件，美國的網路安全事件頻發，拜登政府也開始著手研究通證在黑客攻擊事件中的地位和作用。

6 月，美國國家安全顧問 Anne Neuberger 在致商界領袖的一封信中表示，美國政府正在與國際夥伴合作，制定一致政策，以決定當遭遇黑客勒索時何時支付贖金以及如何追蹤贖金去向。

而在本周二，美國參議院國土安全和政府事務委員會主席的美國參議員 Gary Peters 宣布，委員會正在對通證在最近的勒索軟體攻擊中的作用展開調查。調查將側重於可確保美國人從這一新資產類別（通證）中受益，而不會面臨勒索軟體風險的通證法規。

白宮表示，在留意到近期發生的規模巨大的網路攻擊之後，他們將把勒索軟體攻擊視同於恐怖主義。而一系列的這些行動都表明，美國政府對網路犯罪的態度，已經發生了重大的轉變。畢竟在頻繁的黑客攻擊面前，已然很難通過傳統外交和執法手段，來應對政企所面臨的相關網路威脅。

黑客組織和網路犯罪的危害，從不局限於一國一地。這種新型的影響巨大的犯罪形式，正在挑戰著疫情過去後全球復甦的經濟社會生活。電子證據的跨國調取、對跨國網路犯罪的域外管轄、網路犯罪的預防等等議題，都將是接下來各國將共同努力的方向。

REvil 是所有勒索軟體團伙中最多產、最令人恐懼的團伙之一。如果 Kaseya 事件真的是這個組織的最後一次作案，一定會為今年愈演愈烈的勒索軟體威脅趨勢，帶來些新的反思和思考。

冷萃財經原創，作者：Awing，轉載請註明出處：https://www.lccjd.top/2021/07/23/%e8%bf%98%e5%8e%9f%e6%9c%80%e7%a5%9e%e7%a7%98%e7%9a%84%e9%bb%91%e5%ae%a2%e7%bb%84%e7%bb%87-revil/?variant=zh-tw