|
REvilREvil, connu aussi sous le nom de Sodinokibi, est un logiciel malveillant de type rançongiciel et par extension le groupe de hackeurs qui en est à l'origine. Son nom est un mot-valise, résultat de la contraction de Ransomware et de Evil. Le modèle économique est celui du Ransomware as a service (RaaS) ou « rançongiciel en location ». PrésentationIl est apparu pour la première fois en avril 2019. Il pourrait être opéré par l'ancien groupe GrandCrab, dont la disparition coïncide avec cette date. Selon IBM Security X-Force, au cours de l'année 2020, REvil / Sodinokibi est le rançongiciel le plus souvent impliqué dans des attaques[2]. Celles-ci consistent non seulement à chiffrer les données que la victime ne peut recouvrer que contre une rançon, mais en plus, les cybercriminels exercent un chantage à la diffusion de ces données. Parmi les victimes de ces extorsions, on compte le groupe pharmaceutique Pierre Fabre[3], probablement la société d'informatique taïwanaise Acer[4] et le fabricant d'ordinateurs portables Quanta. Cette dernière compte parmi ses clients la société Apple, que les opérateurs essaient d'extorquer[5]. En mai 2021, la cyberattaque de Colonial Pipeline aux États-Unis est attribuée au groupe Darkside[6], soupçonné d'être affilié à REvil. L'attaque contre le groupe agro-alimentaire JBS en 2021 a été attribuée par le FBI au groupe russe REvil/Sodinokibi[7]. Début juillet 2021, l'attaque contre la société Kaseya, attribuée au groupe REvil, a été décrite comme particulièrement sophistiquée[8]. Le vecteur d'infection principal est un courriel d'hameçonnage (phishing) qui invite à télécharger un fichier compressé[9], mais d'autres techniques ont été utilisées (ainsi en juin 2021 une vulnérabilité de logiciels de la société Kaseya)[10]. Plusieurs éléments indiquent une origine russe de ce logiciel malveillant : le programme a pour instruction de suspendre son activité s'il détecte que la langue du système est le russe[11], et il est en vente sur des forums russophones[12]. Le gouvernement américain ayant mis en demeure le président russe Vladimir Poutine de faire cesser ces cyberattaques, l'activité de REvil a aussitôt été suspendue, ce qui accrédite encore un peu plus l'implication de cybercriminels russes[13]. En octobre 2021, les activités du groupe semblent avoir été compromises de façon décisive à la suite d'une opération internationale[14]. Le FSB annonce en janvier 2022 avoir démantelé le réseau[15]. Des chercheurs en sécurité ont trouvé en octobre 2022 des concordances dans le code source du malware d'encryptage utilisé par Revil et celui utilisé par un nouveau groupe de hackers baptisé Ransom Cartel. Il y a aussi des similarités dans les procédures utilisées par le nouveau groupe. Les chercheurs en sécurité en ont conclu qu'il s'agit d'une possible renaissance du groupe Revil sous un autre nom avec une partie des membres du groupe initial[16]. En juin 2023, une coalition de plusieurs groupes de hackers pro-russes (REvil, Killnet et Anonymous Sudan) annonce une attaque imminente contre le système Swift. Certains analystes penchent pour un coup de com plutôt que comme étant une véritable menace. Le fait que le groupe Revil réapparaisse sur le devant de la scène est troublant dans la mesure où il a été officiellement démantelé[17],[18]. Références
AnnexesArticles connexes |
Portal di Ensiklopedia Dunia
