El grupo de ciberdelincuentes REvil se ha consolidado como uno de los actores más formidables del panorama de las amenazas digitales. Especializado en ataques de ransomware, este colectivo ruso ha orquestado algunas de las operaciones de extorsión más lucrativas de los últimos años. Adentrémonos en el turbio mundo de REvil para entender cómo funciona, su impacto y cómo protegerse.
Modus operandi de REvil: una máquina de extorsión bien engrasada
REvil, también conocido como Sodinokibi, ha perfeccionado el arte de la extorsión digital. El grupo opera con un modelo de ransomware como servicio (RaaS), un enfoque que multiplica su eficacia. Este sistema permite a REvil reclutar afiliados con talento para difundir su malware, ampliando considerablemente su alcance.
La estrategia de REvil se basa en una doble extorsión especialmente perniciosa:
- Cifrado de los datos de la víctima
- Amenaza de divulgación de la información sensible robada
Esta táctica pone a las organizaciones en una situación inextricable, obligándolas a menudo a ceder a las exigencias de los ciberdelincuentes. REvil se dirige principalmente a los siguientes sectores
- Venta al por mayor
- Fabricación
- Servicios profesionales
El grupo utiliza tres vectores de ataque principales para infiltrarse en los sistemas de sus víctimas:
- Explotación de conexiones RDP (Remote Desktop Protocol) poco seguras
- sofisticadas campañas de phishing
- Explotación de vulnerabilidades de día cero
Una vez dentro, el ransomware REvil despliega algoritmos de cifrado avanzados como Diffie-Hellman y Salsa20, haciendo que la recuperación de datos sea prácticamente imposible sin la clave de descifrado.
Alcance de los daños causados por REvil
El impacto financiero de los ataques de REvil es colosal. Se dice que el grupo ha amasado más de 100 millones de dólares con sus operaciones maliciosas. Esta suma astronómica da fe de la formidable eficacia de su método.
REvil ajusta sus peticiones de rescate en función de la capacidad financiera de sus víctimas. Las cantidades exigidas pueden variar considerablemente:
| Tipo de organización | Importe del rescate |
|---|---|
| Pequeña empresa | 1 500 $ |
| Gran empresa | Hasta 42 millones de dólares |
Uno de los ataques más sonados de REvil tuvo como objetivo al gigante informático Acer en 2021. El grupo exigió un rescate récord de 50 millones de dólares, lo que ilustra la audacia y la desmesurada ambición de estos ciberdelincuentes.
Para aumentar la presión sobre sus víctimas, REvil no duda en utilizar tácticas adicionales como la amenaza de ataques DDoS (Denegación de Servicio Distribuido). Esta estrategia pretende paralizar los servicios en línea de la organización objetivo, amplificando el daño y la urgencia de la situación.
Proteger su organización contra la amenaza REvil
Dada la creciente sofisticación de los ataques REvil, es vital que las empresas pongan en marcha una sólida estrategia de defensa. He aquí las principales medidas que deben adoptarse para reducir los riesgos:
- Proteger el acceso remoto: Implantar la autenticación multifactor y limitar estrictamente las conexiones RDP.
- Mantener los sistemas actualizados: Aplique periódicamente parches de seguridad para tapar las vulnerabilidades conocidas.
- Formar a los empleados: sensibilizar al personal sobre las técnicas de phishing y las buenas prácticas de seguridad informática.
- Haga copias de seguridadsin conexión: cree copias de seguridad periódicas y almacénelas en soportes desconectados de la red.
También se recomienda implantar una solución de gestión de privilegios en puntos finales (EPM). Este enfoque permite limitar los derechos de administrador y reducir considerablemente la superficie de ataque que pueden explotar los ciberdelincuentes.
Vínculos de REvil con otros grupos de ciberdelincuentes
El ecosistema de la ciberdelincuencia es complejo y está interconectado. Se han establecido vínculos entre REvil y otros grupos notorios como GandCrab y FIN7. Estas conexiones sugieren una posible colaboración o puesta en común de recursos entre distintas entidades delictivas.
El grupo GandCrab, en particular, presenta sorprendentes similitudes con REvil en su modus operandi y estructura. Algunos expertos sospechan incluso que REvil podría ser una evolución o renacimiento de GandCrab bajo una nueva identidad.
En cuanto a FIN7, conocido por sus ataques dirigidos principalmente al sector financiero, se han observado solapamientos técnicos y estratégicos con ciertas operaciones de REvil. Esta convergencia plantea interrogantes sobre la posible puesta en común de competencias en el seno de la comunidad ciberdelictiva de habla rusa.
La capacidad de REvil para reclutar activamente nuevos talentos y forjar alianzas estratégicas contribuye a su adaptabilidad y longevidad en el panorama de las amenazas digitales. Esta dinámica hace que la lucha contra este grupo sea especialmente compleja para las autoridades y los expertos en ciberseguridad de todo el mundo.
