'FBI hield decryptor REvil-ransomware bijna drie weken lang voor zichzelf'

De FBI bemachtigde begin juli een decryptor voor de ransomware van de REvil-groep, maar wachtte bijna drie weken voordat het die decryptor met de buitenwereld deelde. Bij onder meer de Kaseya-aanval werd REvils ransomware ingezet.

Volgens The Washington Post kreeg de FBI begin juli toegang tot REvils servers en daarbij wist de dienst de decryptor van de ransomware buit te maken. De FBI besloot echter in samenspraak met andere politiediensten de decryptor nog niet te delen met de buitenwereld, schrijft de krant op basis van huidige en voormalige ambtenaren.

De FBI was namelijk destijds bezig met een operatie om REvil te verstoren. Het openbaar maken van de decryptor en daarmee bekendmaken dat ze toegang hadden tot REvils servers, zou deze operatie in gevaar brengen, zeggen de ambtenaren. Daarnaast zou de Amerikaanse overheid hebben geoordeeld dat de ernst van de aanval niet zo erg was als eerder voorzien. Daarom besloot de overheid de decryptor niet te delen.

Uiteindelijk werd de geplande aanval op REvil nooit uitgevoerd. Medio juli ging REvil ineens offline, zonder invloed van de Verenigde Staten. Op dinsdag bevestigde de directeur van de FBI Christopher A. Wray dat zijn dienst het verspreiden van de decryptor had uitgesteld. Daarbij gaf hij ook aan dat het testen en valideren van de decryptiesleutel tijd zou kosten.

In juli deelde de FBI de decryptiesleutel met Kaseya, dat samen met Emsisoft een decryptor wist te ontwikkelen. Daarmee konden bedrijven op 23 juli hun systemen weer gebruiken, twintig dagen nadat de aanval begon. Waarschijnlijk hadden de meeste bedrijven tegen die tijd andere stappen ondernomen om de systemen weer te kunnen gebruiken. Het eerder delen van de decryptor had daarom waarschijnlijk miljoenen dollars schade en inkomstenderving kunnen schelen. Tweakers schreef eerder een achtergrondartikel over de Kaseya-ransomware. Hoewel REvil medio juli offline ging, is de groep sinds deze maand weer actief.

Reacties (49)

[HoppyF]

Blijft merkwaardig dat de FBI en andere instanties het niet voor elkaar gekregen hebben de REvil groep tot op de laatste man/vrouw heeft weten uit te roeien.
Dit moet gezien de enorme economische en maatschappelijke impact toch de hoogste prioriteit hebben.
De locatie in de wereld waar de groep zich bevindt mag geen belemmering vormen, ieder land kan immers getroffen worden. Ransomware kent geen grenzen.

[janbaarda]

Het stinkt naar corruptie. Vooral als je dit leest; "Medio juli ging REvil ineens offline, zonder invloed van de Verenigde Staten ..." Dus net voor het moment waarop de FBI zegt de aanval op REvil te willen doen. Dat kan geen toeval zijn.

Het lijkt heel sterk op een ingebouwd probleempje dat door de FBI/NDA/CIA kon worden uitgebuit maar door een medewerker of groep medewerkers werd misbruikt. Uiteraard de schuld geven aan hackers in een ver en vijandig land is een beproefde werkwijze om verder onderzoek tegen te gaan.

[dutchgio]

Er blijkt mogelijk wel iemand die achter de aanvallen zit opgepakt te zijn. Daardoor zijn de servers ook offline gegaan.
Inmiddels is dit echter weer ongedaan gemaakt en is de REvil groep weer actief, die achtergrond had wel in het artikel vermeld mogen worden.

Zie bijvoorbeeld:
https://www.bleepingcompu...ck-mode-and-leaking-data/

"As Unknown (aka 8800) disappeared, we (the coders) backed up and turned off all the servers. Thought that he was arrested. We tried to search, but to no avail. We waited - he did not show up and we restored everything from backups.

After UNKWN disappeared, the hoster informed us that the Clearnet servers were compromised and they deleted them at once. We shut down the main server with the keys right afterward.

Kaseya decryptor, which was allegedly leaked by the law enforcement, in fact, was leaked by one of our operators during the generation of the decryptor." - REvil

[Amito]

Ransomware kent geen grenzen.

Tegendeel blijkt vaak waar. Je ziet vaak dat ze op basis van IP adres bepaalde landen uitsluiten. Meestal wordt Rusland uitgesloten, waarmee je een idee hebt van de locatie waar ze zitten en wie ze zeker niet tegen het zere been willen schoppen.

[XO101]

Het kan natuurlijk ook een dwaalspoor zijn die ze expres creëren, door iets vrij opzichtigst als Russische ip's uit te sluiten of pc's met Russische toetsenbord instellingen.

[Remc0_]

Het is ook gewoon bekend onder de cyber criminelen die daar opereren dat zolang je Russische bedrijven en burgers (en natuurlijk de overheid) met rust laat niemand ooit aan de deur komt kloppen.

[electricretard]

>Ransomware kent geen grenzen.

Maar de jurisdictie van Amerikaanse alfabet agencies gelukkig wel!
Denk dat we met zijn allen beter gewoon goed kunnen backuppen en risico's accepteren dan dit soort clubs nog meer oncontroleerbare macht te geven.

[Iblies]

REvil groep

Je kijkt te veel USA films en mist de werkelijkheid.
Korea, Vietnam, Iran, Irak, Afghanistan, Libië, etc. Je kunt iemand symbolisch letterlijk elimineren,
maar daarvoor komen er -tig andere voor in de plaats.


Daarbij komt ook nog eens dat vanuit z-amerika er steeds grotere groepen ontstaan die aan ransomware doen ipv ontvoeringen. Een relatief schone misdaad en zoals je zelf aangeeft het kent geen grenzen kent. Iemand vanuit Mexico, Paraguay, Panama, etc probeert het en de kans dat de VS daadwerkelijk gaat ingrijpen is nihil. Met name fake-profielen en foto’s worden een steeds groter probleem en je hebt zo een paar 100$ dollar verdient als een enkeling er in trapt.

[The Zep Man]

(reactie op @HoppyF):

De locatie in de wereld waar de groep zich bevindt mag geen belemmering vormen,

De FBI is federale (landelijke) politie. Zij krijgen alleen iets voor elkaar in andere landen in samenwerking met lokale overheidsinstanties.

[Reactie gewijzigd door The Zep Man op 27 juli 2024 05:03]

[HoppyF]

Klopt, maar overheidsinstanties uit andere landen willen vast en zeker graag samenwerken omdat ransomware geen onderscheid maakt en hun land ook getroffen kan worden.

[m3gA]

Veel ransomware groepen zitten in Rusland. Rusland levert geen onderdanen uit. Ze opereren dan ook niet in eigen land en vaak zit er ook nog een check in en wordt de ransomware niet geactiveerd als het een Russisch systeem is. Biden heeft wel gedreigd naar het Kremlin dat als ze niet meewerken hij het zal zien als een staatsaanval.

[HoppyF]

Daarmee maken dit soort ransomware groepen zichzelf verdacht want dan verraden ze hun locatie.
Rusland heeft hier als land ook geen belang bij want zo worden ze als boosdoener gezien.
Als ik de Russische overheid was, zou ik zelf dit soort groepen aanpakken omdat ik niet zou willen dat mijn land een slechte naam krijgt. Onderdanen uitleveren hoeft dus niet eens.
Daarbij loopt Rusland natuurlijk een grote kans de bal terug te krijgen waarbij westerse hackers de Russische overheid gaan aanpakken vanwege nalatigheid.
Om dit soort vervelende situaties te voorkomen zou het dus veel beter zijn een internationale aanpak te organiseren. Vast niet zo simpel als ik het zeg.

[Zer0]

omdat ik niet zou willen dat mijn land een slechte naam krijgt.

Die slechte naam hebben ze bij velen al langer, en daar trekken ze zich niet al te veel van aan.

[m3gA]

het verstoren van Amerikaanse infrastrucutuur door ransomware is iets wat het Kremlin zeker niet slecht uitkomt.

[sympa]

Europese infrastructuur verstoren komt ze ook niet slecht uit hoor.

[Indentical]

En terecht. Wat gaat de wereld tegen Rusland doen? Dan moet je meerdere landen bij elkaar knopen om er uberhaupt wat tegen te doen Rusland is veel te machtig. Als de wereld vind dat ze de boosdoener zijn dan vinden ze dat.

Worden ze aangevallen dan hebben ze altijd nog kernwapens die ze kunnen gebruiken als druk middel, wekken ze echt de indruk die in te gaan zetten, en Amerika is weer eens hun geweldadige zelf dan heb je zo een oorlog aan de broekhangen. Misschien niet zo snel... maar de kans is aanwezig.

Rusland wil vooral met rust gelaten worden en het land besturen zoals zij graag willen zonder bemoeienis van de buitenwereld.

Althans dat is mijn beleving van Rusland. Zelf geen ster in wereld politiek overigins.maar ik kan niet denken dat Rusland zo aandachts geil is als Amerika dat is bijvoorbeeld.

[Zer0]

Rusland wil vooral met rust gelaten worden en het land besturen zoals zij graag willen zonder bemoeienis van de buitenwereld.

Right, vandaar dat ze zich zo een beetje over de hele wereld bemoeien met binnenlandse politiek, en economisch belangen hebben verspreid over de hele wereld.

[Indentical]

Dat Rusland zich met de wereld bemoeit wil niet zeggen dat ze willen dat de wereld met hen bemoeid.
Waarom zouden ze anders een eigen Intranet maken die blijft werken in 'noodgevallen"

Zelf met rust gelaten willen worden is wat anders dan andere mensen lastig willen vallen. Ze kunnen nu het internet voor het land afsluiten en dan kan niemand meer gluren bij Rusland. Maar ze kunnen natuurlijk wel een PCtje prikken aan het grote boze wereld internet en rustig naar buiten kijken. Of ze dat gaan doen is vraag 2.

Maar Rusland wil dingen graag op hun eigenmanier doen en wat de wereld daar van vindt zal ze een worst wezen. Maar ze willen wel graag weten wat er in de wereld aan de hand is. Maar ze willen graag dat de wereld niet weet wat er in Rusland gebeurd.

[Zer0]

Dat Rusland zich met de wereld bemoeit wil niet zeggen dat ze willen dat de wereld met hen bemoeid.

Het is natuurlijk vrij logisch dat andere landen zich met Rusland bemoeien als Rusland zich met andere landen bemoeit. Het zou nogal naïef zijn te denken dat dat niet zou gebeuren, en je kunt Rusland van alles noemen, maar niet naïef.

[cold_as_ijs]

Rusland heeft er wel degelijk belang bij dat er hackers groepen lekker rotzooi schoppen in het buitenland.
Rusland heeft ~140 miljoen inwoners, maar een economie van de Benelux. Ze worden in hun ogen steeds meer ingesloten door de westerse wereld en het lukt hun niet om de eigen economie te hervormen zodat ze rijker kunnen worden.
Los van het leger zelf, zijn ze dus eigenlijk niet zo'n machtige speler op het toneel. Machtiger worden lukt dus niet want daar heb je geld voor nodig. Nu kun je ook gewoon je tegenstander zwakker maken door buiten de grenzen rotzooi te schoppen. Dit doe je door desinformatie te verspreiden en groepen te steunen die het minder nauw nemen met de waarheid, bedrijven te hacken en malware te verspreiden. Ze proberen bijvoorbeeld de eenwording van Europa te frustreren, want een collectief Europa is veel machtiger dan 27 losse landen, ze proberen de politieke verschillen in de VS te verergeren etc...
Op korte termijn lijkt het best effectief, krijg alleen het idee dat het op lange termijn juist enorm tegen ze werkt. Direct voorbeeld is de vaccinatie vrijwilligheid in Rusland is enorm laag. Ze creeren een vijand voor de EU, meestal werkt dat goed voor groepsvorming en ga zo maar door.

Ooh ja dat Rusland als boosdoener wordt gezien interesseert ze niet zoveel. Zie hoe klungelig die moord op Skripal is geweest.

[albatross]

Je vergeet dat Rusland wellicht een schurkenstaat is, maar (net als velen in de onderwereld) toch het liefst een legitiem gezicht willen behouden, en ook gewoon zaken moet kunnen doen met het Westen. Zo heeft er, al weer bin 10 jaar geleden, onder Putin een grote crackdown plaatsgevonden tegen het illegale kopieren van software. Dat zullen ze echt niet van harte gedaan hebben, maar, hun grote mond ten spijt, kan ook Rusland het zich economisch niet veroorloven om als een paria in de gehele wereld te boek te staan; en zullen ze, wellicht tandenknarsend, af en toe een keer intern in moeten grijpen om te laten zien dat ze het echt goed bedoelen.

[HoppyF]

Als je als land enig aanzien en respect in de wereld wil verdienen zul je je ook als zodanig moeten gedragen. Dat geldt voor ieder land, groot of klein.
Staat ook los van de politiek hoewel politieke leiders uiteraard wel invloed hebben.
Als je als land denkt dat je het beter weet dan de rest dan mis je iets.
Leven op een eiland in een wereldeconomie werkt niet.
Links of rechtsom zul je het met elkaar moeten oplossen.

[NoTechSupport]

Rusland heeft vooral zijn nucleair arsenaal, geheime diensten en kennis van biologische oorlogsvoering. De strategie van Rusland (en China) lijkt te zijn: onder de radar oorlog voeren tegen de democratie. Een directe gewelddadige actie tegen democratische landen is onmogelijk, dus zorgen we ervoor dat er subtiele sabotage acties gebeuren.

De klungeligheid van die moorden is geen toeval. Het is een signaal naar anderen die geneigd zouden zijn stelling in te nemen tegen Rusland.

[maevian]

En vergeet niet, toegang tot de gas toevoer.

[FreshMaker]

Daarmee maken dit soort ransomware groepen zichzelf verdacht want dan verraden ze hun locatie.
Rusland heeft hier als land ook geen belang bij want zo worden ze als boosdoener gezien.

Putin is herverkozen met een overmacht ...
En jij denkt dat ze wat om hun reputatie geven ?

[NoTechSupport]

True, maar verkiezingen zijn niet vrij en oppositie is onmogelijk. Het feit dat de Russen hun eigen regering niet vertrouwen is wel een nadeel voor die regering (bvb bij het bestrijden van de pandemie).

[dasiro]

Rusland heeft hier als land ook geen belang bij

3 woorden: digital warfare expertise

er worden tegenwoordig meer cyberoorlogen gevoerd dan fysieke, al zijn er maar weinig landen die dat daadwerkelijk toegeven.

Het feit dat ze plots verdwenen zijn toen de VS een aanval klaar had staan en ze nu terug actief zijn geeft aan dat ze misschien slimmer zijn dan de VS dacht en/of ze externe hulp hebben gekregen.

[maevian]

Rusland destabiliseert het westen maar al te graag en als die criminelen het voor hun doen, zoveel te beter.
De Nato gaat niet zomaar een oorlog voeren met een nuclear power als Rusland. En als we zouden dreigen met economische sancties, draait Rusland toch gewoon even de gaskraan dicht.

[HoppyF]

Leuk bedacht de gaskraan dichtdraaien.
Dit betekent dan geen inkomsten meer en juist geld heeft Rusland nodig.
Gaat ook interessant wordt straks als (bijna) iedereen van het gas af is.
Weg inkomsten…

[maevian]

Bijna iedereen van het gas af? In Nederland misschien...
Hier in België zijn ze net volop bezig met de aanbouw van nieuwe gas centrales voor electriciteit en worden de meeste nieuwbouw woningen nog altijd met gas verwarmd...
En dan spreek ik nog niet over de rest van europa, de EU is net een beetje groter als enkel Nederland.

En rusland heeft het in de geschiedenis al genoeg aangetoond dat het in staat is om hun gehele populatie te verhongeren indien nodig.

[NoTechSupport]

Ik sta er volledig achter om met fossiele brandstoffen te stoppen, maar we zullen creatief moeten zijn bij de financiering van deze operatie. Dit gaat ongelooflijk veel geld kosten en op dat probleem heeft Nederland momenteel nog geen antwoord.

[CivLord]

Aanpakken van Russische hackers door Rusland zou wel eens een probleem kunnen zijn.
Ik weet dat Rusland de naam heeft om mensen op te pakken wanneer ze naar Russische maatstaven politiek incorrect bezig zijn, maar dan gaat dat nog om zaken waar de positie van Putin zelf direct aangevallen of bekritiseerd wordt. In overige gevallen zal gewoon de wet gevolgd worden.
Wanneer volgens de Russische wet misdrijven begaan in het buitenland tegen niet-Russische personen of bedrijven niet in Rusland vervolgd kunnen worden, zitten hackers dus veilig wanneer ze alleen buitenlandse bedrijven aanvallen.

[sympa]

Tenzij de overheid in dat andere land het wel best vindt, omdat de groep het eigen land (en de belangen daarvan) met rust laat.
Zoals dat geval waarbij iemand ging chatten met de ransomware-support, zei voor Gazprom te werken, en toen hoorde: "stuur even een foto van je Gazprom-badge dan decrypten we het voor je".

[litebyte]

Zoals dat geval waarbij iemand ging chatten met de ransomware-support, zei voor Gazprom te werken, en toen hoorde: "stuur even een foto van je Gazprom-badge dan decrypten we het voor je".

Werkelijk? Heb je ook een link naar een bron (liever geen Business Insider oid)?

Revil is een zogenaamde RAAS organisatie. Zij bieden ransomware as a service aan iedereen die er maar voor betaald. Dat kan ook een westerse partij zijn, als je maar betaald.

[sympa]

Dat ging niet over Revil, het is al langer geleden. Geen idee, misschien heb ik het gevonden via Krebsonsecurity.

[CivLord]

Het is niet alleen de vraag of ze het wel best vinden, maar ook of in het buitenland gepleegde misdaden wel strafbaar te stellen zijn volgens de wet.

In Nederland zijn in het buitenland gepleegde misdrijven waar geen Nederlanders of Nederlandse bedrijven bij betrokken zijn in de meeste gevallen ook niet vervolgbaar. Uitzondering hierop zijn bepaalde misdrijven tegen de menselijkheid, terrorisme en pedofilie.
In de overige gevallen zal het land waar de misdaad is gepleegd moeten verzoeken om uitlevering. Voor landen waar een uitleveringsverdrag mee is wordt dan beoordeeld of het gepleegde feit ook volgens de Nederlandse wet een misdrijf is en of het bewijsmateriaal zwaar genoeg is om ook in Nederland tot vervolging over te gaan, wanneer het misdrijf in Nederland zou hebben plaatsgevonden.
Wanneer er geen uitleveringsverdrag is kan het land ook vriendelijk om uitlevering verzoeken. Dat levert niet een automatisch 'Nee' op. Er wordt dan ook beoordeeld of het in belang van Nederland is om de verdachte uit te leveren, of het misdrijf ernstig genoeg is en of de uitgeleverde Nederlander een eerlijk proces zal krijgen. Ook de diplomatieke betrekkingen spelen een rol. Bij goede betrekkingen zal er eerder toeschietelijk geantwoord worden.

[albatross]

"Blijft merkwaardig dat de FBI en andere instanties het niet voor elkaar gekregen hebben de REvil groep tot op de laatste man/vrouw heeft weten uit te roeien."

Wie zegt dat? Waarschijnlijk heeft er een ernstig gesprek plaatsgevonden tusssen Biden en Putin. En als Putin 'Njet' zegt, dan is het inderdaad zo gedaan met REvil. Allemaal speculatie, uiteraard, maar een organisatie als REvil houdt er niet zo maar mee op. Misschien heeft Amerika druk uitgeoefend; misschien vond Putin zelf wel zijn land een onnodig slechte reputatie aan het krijgen was. In ieder geval zullen ze door zeer hoge hand (lees: Putin dus) gedwongen zijn er mee te kappen -- om wat voor beweegredenen dan ook.

[Reactie gewijzigd door albatross op 27 juli 2024 05:03]

[honey]

Was het niet zo dat ze zelf hebben aangegeven dat ze even vakantie namen en nu weer aan het werk gingen?

[FreshMaker]

https://www.bleepingcompu...ck-mode-and-leaking-data/

Ik vermoed dat dat zo was.

[albatross]

Dat vakantie verhaal is leuk om als criminele organisatie je gezicht te redden, maar zoals het aangehaalde artikel zelf al zegt "Likely feeling pressure and concerns about being apprehended, the REvil gang suddenly shut down on July 13th, 2021." Er zal toch weldegelijk iemand flink achter ze aangezeten hebben.

Stel je een jaren-50 krantenkop voor: "Mafia houdt er gewoon mee op." Zo werkt het natuurlijk niet.

[honey]

Dan denk ik dat je langer dan een paar weken je gedeisd houdt, of je start een gehele nieuwe groep. Ik kan me heel goed voorstellen dat je ook als crimineel zin hebt om eens vakantie te vieren. 😉🌴🌴☀️

[CivLord]

Misschien betrof de dreiging alleen de infrastructuur. Dan trek je daar de stekker uit en ben je een paar weken bezig om deze opnieuw op te bouwen.

[FreshMaker]

Je kan vakantie op meerdere manieren opvatten natuurlijk.

Nee, ze zijn niet naar de Costa del sol gegaan, of een datcha aan de zwarte zee, dat snap ik ook wel
Maar wat wel opvallen was, is dat ze een paar weken later weer in volle aanval gegaan zijn.

[icecreamfarmer]

Dat denk ik ook.
Ze zijn te ver gegaan en de staat heeft ingegrepen.

[Anoniem: 421923]

de FBI vond het niet zo ernstig.

Kunnen personen/bedrijven hun kosten/schade declareren bij de instantie die ze had kunnen helpen?

[WhatsappHack]

Lijkt me stug, ten eerste hebben ze geen enkele verplichting om die bedrijven te helpen en ze hadden daarnaast een gerechtvaardigd belang om het niet te delen: het niet verstoren van het lopende onderzoek en plan om de groep aan te pakken.

[NoSugar]

Het zoveelste voorbeeld dat we de overheid altijd moeten vertrouwen en ze het beste met ons voor hebben. Zie ook alle beperkingen en privacyschendingen om: terrorisme, kinderporno, coronabesmettingen, etc. te voorkomen. Het is maar een lek... het is maar een qr code... het is maar contant geld... het is maar wat privacy...

[dakka]

Even buiten alle "maar wat als"-en om, het publiekelijk belang van het aanpakken van de oorzaak weegt toch meer mee dan het iedereen wijs maken dat ze hun decryptor te pakken hebben waardoor ze dus compleet alles gaan omgooien en verdwijnen om weer andere slachtoffers te maken.

"Hey we hebben jullie door!, we gaan eerst even deze mensen helpen, dan komen we jullie zometeen oppakken, niet wegrennen he?"

[Reactie gewijzigd door dakka op 27 juli 2024 05:03]

[CivLord]

Het is een afweging. Wat kunnen ze beter doen?
Een paar bedrijven helpen en daarmee de hackers waarschuwen dat ze gecompromitteerd zijn, waardoor die kunnen onderduiken en opnieuw beginnen? Daar help je de volgende bedrijven niet mee die door de hackers getroffen worden.
Of je onderzoek in stilte voortzetten in de hoop de hackers zelf aan te kunnen pakken? Dan is het jammer voor de bedrijven die nu getroffen zijn, maar voorkom je dat volgende bedrijven door deze hackers gedupeerd worden.
Welke keuze moet een verantwoordelijke overheid volgens jou maken? De keuze om de hackers te waarschuwen of om ze op te pakken?