Am 2. Juli 2021 nutzte ein Anwender von REvil/Sodinokibi mehrere Schwachstellen im Produkt Kaseya VSA aus, um einen Ransomware-Verschlüsseler an damit verbundene Endpunkte zu verteilen. Kaseya VSA ist eine Lösung zur Fernüberwachung- und -verwaltung, die von Managed Service Providern (MSPs) und Unternehmen zur Fernverwaltung von Computersystemen eingesetzt wird.
Die Anzahl der von der REvil-Ransomware-Störung betroffenen Organisationen ist derzeit nicht bekannt, aber Kaseya schätzt, dass die Fallzahl unter 1.500 liegt. Bei vielen der betroffenen Unternehmen handelt es sich um sehr kleine Familienbetriebe, die aufgrund des Feiertagswochenendes in den USA erst spät von den Auswirkungen erfahren haben.
REvil Ransomware-as-a-Service (RaaS) wurde seit Mai 2019 in russischsprachigen Untergrundforen beworben. Beim RaaS-Geschäftsmodell entwickelt eine zentrale Gruppe die Ransomware, kommuniziert mit den Opfern und betreibt die Backend-Infrastruktur. Partner oder angeschlossene Gruppen führen die Angriffe durch und verbreiten die Ransomware.
Die RaaS wird von dem Hacker „UNKN“ (auch bekannt als „Unknown“) betrieben, der keine englischsprachigen Partner akzeptiert und den Partnern nicht erlaubt, GUS-Länder, einschließlich der Ukraine, anzugreifen. Die bekannten Anwender sind russischsprachig, doch es ist wahrscheinlich, dass einige der Beteiligten nicht physisch in Russland ansässig sind.
Nach dem Colonial-Pipeline-Angriff bemühte sich UNKN, die Ziele der REvil-Anwender einzuschränken und bestand darauf, die Ziele vor dem Verteilen der Ransomware zu überprüfen.
REvil übernahm die Verantwortung für den Angriff am Abend des 4. Juli und behauptete, mehr als eine Millionen Systeme getroffen zu haben. Sie fordern 70 Millionen US-Dollar für einen universellen Entschlüsselungscode, mit dem jedes betroffene System entsperrt werden kann. Diese exorbitante Summe ist die höchste in der Geschichte.
In privaten Gesprächen hat REvil seine Forderungen proaktiv gesenkt. Zudem sind sie dafür bekannt, den Umfang und die Auswirkungen ihrer Angriffe zu überspitzen. Darüber hinaus hat REvil bisher keine Daten aus den Infiltrierungen veröffentlicht. Eine Methode, die sie oft anwenden, um ihre Opfer zu einer Zahlung zu zwingen.
Solange Kriminelle Lösegelder in zweistelliger Millionenhöhe fordern können und ihnen keine Gefängnisstrafe droht, wird sich dieses Problem weiter verschärfen. Diese Gruppen sind gut finanziert und hoch motiviert und nur ein entschlossenes, gemeinschaftliches Vorgehen wird das Blatt wenden können.