REvil war eine Erpressergruppe, die ihre Verschlüsselungssoftware nach dem Modell Ransomware as a Service an Partner vermietete. Bekannt wurde sie durch den Angriff vom 2. Juli 2021, bei dem über die Software des Dienstleisters Kaseya weniger als 1.500 Unternehmen getroffen wurden. Im Januar 2022 nahm der russische Inlandsgeheimdienst FSB mutmaßliche Mitglieder fest.
- REvil
Eine Erpressergruppe, die ihre Verschlüsselungssoftware an Partner vermietete, die damit Unternehmen angriffen.
Beispiel: „Am Montag fanden die Kunden des Dienstleisters auf ihren Rechnern die Lösegeldforderung von REvil.“Auch: Sodinokibi, der Name der Schadsoftware, den Europol neben REvil führt.
Abgrenzung zu Ransomware: Ransomware ist die Gattung der Erpressungssoftware, REvil eine Gruppe, die eine davon betrieb.
Wie REvil arbeitete
Arbeitsteilig. Die Gruppe stellte die Software, Partner suchten sich die Opfer und führten die Angriffe aus. Wie viel dabei zusammenkam, zeigt eine Meldung von Europol aus dem Jahr 2021: Fünf festgenommenen Partnern werden rund 7.000 Infektionen und Lösegeldforderungen von mehr als 200 Millionen Euro zugerechnet.
Für das Opfer ändert das Modell wenig. Es bekommt es mit einer verschlüsselten Umgebung und einer Forderung zu tun, und wer verhandelt, verhandelt mit jemandem, der die Software nur gemietet hat.
Der Angriff von REvil über Kaseya
Am Freitag, dem 2. Juli 2021, nutzten Angreifer eine Lücke in VSA, einer Fernwartungssoftware von Kaseya, die IT-Dienstleister für ihre Kunden betreiben. Betroffen waren nach Angaben von Kaseya weniger als 60 eigene Kunden und weniger als 1.500 Unternehmen dahinter. Die Gruppe hinter dem Angriff wurde REvil zugerechnet und forderte nach Berichten 70 Millionen US-Dollar für einen Generalschlüssel.
Der Fall ist ein Supply-Chain-Angriff in Reinform: Wer das Werkzeug des Dienstleisters übernimmt, erreicht alle Kunden zugleich. Eine Fernwartung ist damit so sicher wie ihr schwächster Zugang.
Wie REvil zerschlagen wurde
Am 14. Januar 2022 meldete der FSB die Festnahme von 14 mutmaßlichen Mitgliedern nach Durchsuchungen an 25 Adressen, nach eigener Darstellung auf Ersuchen der US-Behörden. Beschlagnahmt wurden laut FSB Bargeld, Rechner, Krypto-Geldbörsen und rund 20 Luxusautos.
Für Betroffene bleibt die Lehre unabhängig von Festnahmen: Was gegen REvil half, hilft gegen jede Erpressergruppe. Eine Sicherung, die vom Netz getrennt liegt, siehe Datensicherung als Sicherheitsmaßnahme, und ein geübter Ablauf für den Ernstfall.