Группировка REvil потребовала от ИТ-компании Kaseya $70 млн в биткоинах в обмен на «универсальный дешифратор», который разблокирует данные на всех пострадавших компьютерах. По словам хакеров, их вредоносная программа повредила более 1 млн систем по всему миру. Это число не подтверждено, и точное количество жертв пока неизвестно.
Свое требование киберпреступники обнародовали 5 июля в блоге REvil.
Эксперты выразили удивление в связи с требованием киберпреступников выплатить выкуп в биткоинах, потому что их легче отследить, чем некоторые другие криптовалюты, например Monero. Профессор Национального центра кибербезопасности Киаран Мартин назвал требование REvil заплатить биткоинами «странным».
Детали
- Кибератака со стороны REvil произошла 2 июля. Группировка взломала инструмент программного интерфейса Virtual System Administrator (VSA) компании Kaseya и установила вредоносный код.
- В результате кибератаки пострадали тысячи клиентов фирмы Kaseya: хакеры путем шифрования данных заблокировали, к примеру, системы бухгалтерского учета. Сама фирма 3 июля объявила, что пострадали менее 40 клиентов. Однако среди них — компании, которые занимаются дистрибьюцией программного обеспечения Kaseya, и, по одной из версий, они могли распространить уже зараженный софт.
- По данным экспертов компании Huntress Labs, вредоносная программа распространилась по корпоративным сетям организаций, использующих ПО Kaseya как инструмент VSA. По оценкам Huntress Labs на 2 июля, пострадало около 200 фирм.
- Жертвами кибератаки REvil стали и компании в Европе. По данным Федерального ведомства по безопасности в сфере информационной техники ФРГ (BSI), в Германии заблокирована работа тысяч компьютеров.
- По сообщениям местных СМИ, пострадали две голландские ИТ-компании.
- В результате действий киберпреступников из США остановилась работа 500 шведских супермаркетов Coop и 11 школ в Новой Зеландии.
REvil
- REvil — группа киберпреступников, использующая программы-вымогатели.
- Группировка является одной из самых известных в мире благодаря нападениям на крупные компании.
- REvil получила известность своей атакой на Apple, в ходе которой были взломаны компьютеры партнера компании — Quanta Computer — и похищены чертежи еще не выпущенных ноутбуков MacBook и другой техники. Хакеры опубликовали требование выкупа в размере $50 млн. В случае невыполнения требования REvil обещала разместить в открытом доступе более десятка схем и чертежей компонентов MacBook, после чего последовала первая публикация изображений. Материалы содержали серийные номера, размеры и параметры производительности ноутбука американской компании. Apple и Quanta не стали идти на переговоры с хакерами. Вскоре REvil удалила все упоминания о взломе и опубликованные схемы.
- По данным ФБР, REvil стоит за атакой на крупнейшего в мире производителя мяса — бразильскую компанию JBS. Из-за хакеров пришлось остановить переработку на одном из крупнейших заводов в Канаде и забой крупного рогатого скота и овец в Австралии.
- В 2019 году REvil связывали с нападением на десятки органов местного самоуправления в Техасе. Мэр города Кина Гэри Хайнрих заявлял, что вымогатели требовали у своих жертв $2,5 млн в обмен на ключи для расшифровки файлов. Атака, по его словам, осуществлялась через поставщика управляемых услуг Managed services providers (MSP), которыми город пользовался для технической поддержки.
Другие примеры крупных кибератак
- 7 мая 2021 года в результате хакерской атаки DarkSide была остановлена работа трубопровода Colonial Pipeline, по которому 45% топлива поступает на восточное побережье США. По данным BBC, программы-вымогатели проникли в сеть компании и получили почти 100 ГБ данных. Оказались отключены четыре магистральные линии, что привело к росту мировых цен на нефть примерно на 1%, а цена на бензин в США подскочила более чем на 3%. Компания заплатила злоумышленникам $5 млн. С 2020 по 2021 год хакеры атаковали около 100 крупных компаний и смогли заработать до $90 млн. 14 мая стало известно о том, что DarkSide прекратила существование, поскольку ей был закрыт доступ к сайтам утечки данных, платежным сервисам и площадкам по обмену контентом по требованию правительства США.
- 14 мая того же года Национальная служба здравоохранения Ирландии (HSE) отключила свою компьютерную систему из-за «серьезной атаки» хакеров. По словам руководителя ведомства Пола Рейда, кибератака была совершена с помощью программы-вымогателя, посредством которой киберпреступники пытались похитить данные и потребовать выкуп за них. Несколько медучреждений сообщили о перебоях, полном отключении компьютерных систем и прекращении амбулаторного приема пациентов. 16 мая, предположительно, те же хакеры напали на информационные системы Министерства здравоохранения Ирландии. Правительство страны полагает, что злоумышленники действуют из стран Восточной Европы.