Il 4 novembre scorso, 5 affiliati della cyber-gang Sodinokibi/REvil sono stati arrestati durante l’operazione GoldDust, che ha coinvolto 17 paesi oltre alla Europol, Eurojust e INTERPOL. Gli affiliati arrestati sono sospettati di 7mila infezioni da ransomware , che gli hanno consentito di chiedere riscatti per ben 200 milioni di euro.
Dal febbraio 2021, le forze dell’ordine hanno arrestato altri tre affiliati di Sodinokibi/REvil e due sospetti collegati a GandCrab. Tutti questi arresti seguono gli sforzi congiunti delle forze dell’ordine internazionali di identificazione, intercettazione e sequestro delle infrastrutture utilizzate dalla famiglia di ransomware Sodinokibi/REvil, che è considerata il successore di GandCrab.
La squadra dell’Interpol che ha colpito REvil
Dal 2019, diverse grandi società internazionali hanno dovuto affrontare gravi attacchi informatici, che hanno distribuito il ransomware Sodinokibi/REvil.
Francia, Germania, Romania, Europol ed Eurojust hanno rafforzato le azioni contro questo ransomware istituendo una squadra investigativa congiunta nel maggio 2021. Bitdefender, in collaborazione con le forze dell’ordine, ha reso disponibile uno strumento sul sito Web No More Ransom che aiuta le vittime di Sodinokibi /REvil a ripristinare i propri file cifrati prima di luglio 2021.
A ottobre, un affiliato è stato arrestato in Europa. Inoltre, a febbraio, aprile e ottobre 2021 le autorità della Corea del Sud hanno arrestato tre affiliati coinvolti nelle famiglie di ransomware GandCrab e Sodinokibi/REvil, che hanno fatto più di 1 500 vittime. Il 4 novembre, le autorità kuwaitiane hanno arrestato un altro affiliato di GandGrab,
Collegamenti a GOLDDUST e GANDCRAB
Dal 2018, Europol ha sostenuto un’indagine condotta dalla Romania che prende di mira la famiglia di ransomware GandCrab e ha coinvolto le autorità di contrasto di numerosi paesi, tra cui Regno Unito e Stati Uniti.
Con oltre un milione di vittime in tutto il mondo, GandCrab è stata una delle famiglie di ransomware più prolifiche al mondo. Questi sforzi congiunti delle forze dell’ordine hanno portato al rilascio di tre strumenti di decrittazione attraverso il progetto No More Ransom, risparmiando finora oltre 49 000 sistemi e oltre 60 milioni di euro di riscatto non pagato.
L’inchiesta ha esaminato anche gli affiliati di GandCrab, alcuni dei quali si ritiene si siano mossi verso Sodinokibi/REvil. L‘operazione GoldDust è stata costruita anche su indizi di questa precedente indagine su GandCrab.
Una cifratura senza un riscatto.
Il supporto del settore della sicurezza informatica si è dimostrato fondamentale per ridurre al minimo i danni degli attacchi ransomware, che rappresentano ancora la più grande minaccia di criminalità informatica di oggi.
Molti partner hanno già fornito strumenti di decrittazione per una serie di famiglie di ransomware tramite il sito Web No More Ransom. Bitdefender che ha supportato questa indagine fornendo approfondimenti tecnici chiave durante l’intera indagine, insieme a strumenti di decrittazione per entrambe queste famiglie di ransomware altamente prolifiche per aiutare le vittime a recuperare i propri file.
KPN e McAfee Enterprises sono altri partner del settore privato che hanno anche sostenuto questa indagine, fornendo competenze tecniche alle forze dell’ordine.
Attualmente, No More Ransom dispone di strumenti di decrittazione per GandCrab (versioni da V1, V4 e V5 fino a V5.2) e per Sodinokibi/REvil. Gli strumenti di decrittazione Sodinokibi/REvil hanno aiutato più di 1400 aziende a decifrare le loro reti, risparmiando loro quasi 475 milioni di euro in potenziali perdite. Gli strumenti messi a disposizione per entrambe le famiglie di ransomware hanno consentito oltre 50.000 decrittazioni, per le quali i criminali informatici avevano chiesto un riscatto di circa 520 milioni di euro.
Il sostegno della EUROPOL
Europol ha facilitato lo scambio di informazioni e sostenuto il coordinamento dell’operazione GoldDust e fornito supporto analitico operativo, nonché analisi di criptovalute, malware e forensi.
Durante le giornate di azione, Europol ha inviato esperti in ciascuna località e ha attivato un posto di comando virtuale per coordinare le attività sul campo. La cooperazione internazionale ha consentito a Europol di ottimizzare gli sforzi di mitigazione delle vittime con altri paesi dell’UE. Queste attività hanno impedito alle aziende private di cadere vittime del ransomware Sodinokibi/REvil.
La Joint Cybercrime Action Taskforce (J-CAT) presso Europol ha sostenuto l’operazione. Questo team operativo permanente è composto da funzionari di collegamento informatici di diversi paesi che lavorano dallo stesso ufficio su indagini di criminalità informatica di alto profilo.
I paesi che hanno partecipato all’iniziativa sono stati Australia, Belgio, Canada, Francia, Germania, Paesi Bassi, Lussemburgo, Norvegia, Filippine, Polonia, Romania, Corea del Sud, Svezia, Svizzera, Kuwait, Regno Unito e ovviamente gli Stati Uniti D’America.
Fonte
https://www.europol.europa.eu/newsroom/news/five-affiliates-to-sodinokibi/revil-unplugged
