REvil
REvilは、RaaS(サービスとしてのランサムウェア)を行っているロシア系のハッカーグループで、世界で最も活発に活動し、利益を上げているサイバー犯罪カルテルの一つとされている。
別名「Sodinokibi」(ソディノキビ)とも呼ばれている。
REvilというグループ名の由来はRansom Evilの略であることがメンバーによって明かされている。日本語の読み方は「レビル」「レヴィル」「リービル」「リーヴィル」「リビール」「Rイーブル」など表記が揺れている。
REvilは世界で最も活発に活動し、被害を出しているハッカー集団の一つであるとされており、日本IBMのサイバーセキュリティの動向をまとめた年次レポート「IBM X-Force脅威インテリジェンス・インデックス2021」によると、ランサムウェアの種類別ランキングで「ソディノキビ」が22%で1位だった。2位の「Nefilim(ネフィリム)」は11%で、2倍近い差をつけている。
レポートではソディノキビによって「過去1年間で1億2300万ドル(約133億円)以上」の被害があり、攻撃を受けた企業の約2/3が身代金の支払いに応じた、と分析している。グループのメンバーもインタビューで年商100億以上だと豪語している。アメリカ司法省によると被害はさらに広がり、2021年10月の時点で世界の17万5000台のコンピューターが被害を受け、2億ドル(約226億円)の身代金が支払われているという。
ランサムウェアの開発グループは10人以下。開発グループと、攻撃を仕掛けるグループはそれぞれ別の組織で、開発グループが複数の攻撃グループにランサムウェアを提供し、次々に企業のネットワークを攻撃させる。
REvil(Sodinokibi)は、C言語で作成されている。他のランサムウェアと比べ優れている点は、暗号化システムと言われている。ファイルの暗号化にcurve25519/Salsa20、鍵の暗号化にはcurve25519/AES-256-CTRを使用している。開発者たちは、現時点で最高の暗号化システムだと自画自賛している。
またアンチウイルスソフトやその他の手法による検知を防ぐ手段を数多く使用するため、検知するのも難しいと言われている。
多くのアンチウイルスソフトがSodinokibiの初期ペイロードを「悪意あるもの」として警告しないため、検知されずに通過され防御の第一層を簡単にバイパスしてくる。
その他の特徴として、MazeやLockbitには無い、Elliptic Curve Cryptography(楕円曲線暗号)やトリプルサーキット(ファイル・キー、システム・キー、アフィリエイト・キー)を持っている。
REvilは被害者のネットワークからデータを盗みだし、ネット上に流出させると脅す(REvilの場合はオークション形式で販売する)。REvilが情報を暴露するブログは「Happy Blog」(ハッピーブログ)と呼ばれている。
さらにファイルを暗号化し使用不可能にもする。デフォルトのWindowsバックアップメカニズム(シャドウコピー)や、NASやテープといったバックアップファイルを削除し、自力では復旧できないようになる。暗号化されたファイルを復号するツールを受け取るには身代金を支払わなければならない。この様な手法は「二重脅迫型」と呼ばれている。
REvilは攻撃する対象を決めてから狙う「標的型攻撃」を行う。2017年5月にWannaCryというランサムウェアが猛威を振い、150か国の23万台以上のコンピュータに感染した。しかしREvilは「WannaCryは非常に愚かで、かつ管理不能な実験だった」と酷評している。理由は「大きな騒ぎを起こして、利益が10万ドルにも満たないというのは滑稽である」と商業的な失敗を挙げた。ランサムウェアSodinokibiは、RCE(リモートコード実行)を使ったエクスプロイトがないため、ワームのように、外部ネットワークの他のパソコンに自動的に感染することはないが、大量に感染させても(身代金的には)旨味がなく、金銭的に余裕のある大企業のみをピンポイントで狙った方がはるかに効率的だという。
REvilはRaaS(サービスとしてのランサムウェア)と呼ばれるスキームを採用しており、被害者毎に固有のBTCウォレットを生成する、自分たちの開発したランサムウェアを配布するアフィリエイトを募集している。この取り決めの一環として、奪った身代金で得た収益をREvilとアフィリエイト利用者で分配する。
セキュリティ企業マカフィーがREvilのビットコインの流れを分析したところ、金額の一部がウォレットから転送されるか、取引所で購入され、アフィリエイト・ウォレットに転送される。ビットコインミキサー「Bitmix.biz」は次のトランザクションを難読化して、追跡を困難にしている。「調べると非常に興味深いパターンを発見できます。まず、指定ウォレットに犠牲者が支払っている事が確認できます。そこからアフィリエイター、またはディストリビューション・ウォレットに送られるまで、平均2〜3回のトランザクションが発生しています」。さらに「そのウォレットから分割が確認できます。60%または70%はアフィリエイトに留まり、残りの40~30%は複数回のトランザクションでSodinokibiの背後にいるアクターに送られます」とし、報酬が分配されていることが確認されている。
この分配比率に関してREvilは「主要な仕事をするのはランサムウェアを感染させる人物であり、ソフトウェア自体は単なるツールである。このような配分は妥当だと思う」と、アフィリエイターの方が多く受け取るのは当然だとしている。身代金は開発者が最初に受け取り、システムによって自動的に分配される。
アフィリエイターではなく、開発者たちが攻撃することもあるという。しかし、結果的にRaaSモデルの方が儲けを出し、最終的により多くの利益を出すことができるため外部の人材を利用している。
ただアフィリエイターになるには「選択のプロセスは非常に厳しく、疑わしい、もしくは見慣れない候補者は、我々のコミュニケーションツールに加えることすらない」と審査の厳しさを語っている。
過去にはNSAやCIAといった秘密機関がパートナーを装って接触してきた事もあったが、そのような人々は、旧ソ連諸国に共通な社会政治的な議論を通じたチェックで容易に特定できたという。中にはロシア語話者もいたが、この仕事に関する特定の側面に話が及んだ際に、回答はあてずっぽうだったため、即座に拒否したという。
REvilの正確な所在地を特定することは困難だが、グループがロシアの組織や旧ソ連圏の組織を標的にしていないという事実から、彼らはロシアに拠点を置いていると考えられている。
グループ全員がロシアで活動しているかどうかは明らかでないが、同グループの表向きの顔であり、サイバー犯罪フォーラムXSS上で「アンノーン」と呼ばれるユーザーはロシア語だけで発信しており、やはりロシアに関係が深いと推察される。
専門家は、このハッカー集団がロシアの情報機関の庇護を受けていると分析しており、サキ大統領報道官は「責任を負う国が行動を取るべきだ。米国は幅広い対応策を検討する」とし、ロシア側にハッカー集団の取り締まりなどの対応を取るよう圧力をかけている。
ロシア政府とハッカー集団との協力関係の証拠はまだ示されていないが、プーチン大統領にとってプラス要因になっていると指摘する声もある。相次ぐロシア系ハッカーの攻撃で、ガソリン価格や食料品の価格が高騰し、米国民の不満が一層高まれば、バイデンの支持率低下や政権の弱体化に追い込むことが可能だからだという。
本人たちは「我々は政治に無関心だ。我々が必要としていたのは金銭だけであり、政治ではない。我々にとっては、誰が次期大統領になろうが関係ない」と活動に政治的思惑はないと否定している。
REvilの活動が初めに確認されたのは2019年4月とされる。
サイバーセキュリティの専門家は、REvilはハッカー集団「GandCrab」から派生したものであると考えている。GandCrabはかつては世界的な全ランサムウェア感染の40%を占めていたこともある悪名高い組織。GandCrabのオペレーターは2019年5月に「1年ちょっとで十分なお金を稼いだし悪事を働いても逃げおおせると証明できた」と引退を表明したが、その前後にREvilが活動を開始したことや、両グループのランサムウェアにかなりの類似点があることなどから関連性が疑われている。例えば、攻撃から除外するホワイトリスト、韓国のセキュリティ企業アンラボなど特定の企業をプロセスインジェクションの標的としていること、感染したマシンの情報を送信するC&CサーバーのURL生成ルーチンにおける類似性などである。GandCrabの作者の一部がREvilにブランド名を変更し、ランサムウェア開発を続けているものと考えられている。
マカフィーによれば、SodinokibiとGandCrabの2つの間に全体で40%のコードのオーバーラップがあり、「構造と偶然の観点から見れば、GandCrabコードの開発者がそれを新しいファミリーを作成するためのベースとして使用したか、もしくは別の仮説としては、リークされたGandCrabソースコードを入手した者が新しいRaaS Sodinokibiを立ち上げたと考えられます」と推察している。
REvil自身はインタビューで「以前、我々はadvertsに似たようなランサムウェアを使っていたが、同ソフトウェアはなくなってしまった。我々はそのコードを購入し、我々の目的のために独自の製品を作り出した」と創設の経緯について語っている。
4月、ソディノキビはハッカーフォーラムへの投稿で、身代金として要求する仮想通貨をビットコインから特定がより困難なMoneroへと移行すると通知した。
ユーロポール(欧州刑事警察機構)のジャクベックは2月のセミナーで、「容疑者がTORとプライバシーコインを組み合わせて利用していたので、我々はIPアドレスを追跡できなかった。つまり行き詰った。ビットコインのブロックチェーン上では何が起ころうとも可視化できるので、さらなる捜査が可能だった。しかし、モネロのブロックチェーンは、そこが捜査の終了地点となった」と語り、Moneroがビットコインやイーサリアムより匿名性が高く、犯罪者らが資金を移動させる可能性があると説明している。身代金はビットコインでの支払いも受け付けているが、その場合はモネロより10%金額が上乗せされる。
8月に活動が確認されたダークサイドは、REvil が使用しているランサムウェアコードとの類似性が指摘されており、REvilから派生したグループまたはパートナー関係にあると見られている。
5月14日、アメリカの大手石油パイプライン「コロニアル・パイプライン」を操業停止に追い込んだダークサイドが活動を停止した。5月17日、米政府の圧力が強まる中、ハッカー集団AvaddonとREvilは、政府機関、非営利団体、医療機関への攻撃を中止する方針を示した。
しかしサイバーセキュリティ会社レコーテッド・フューチャーは「新型コロナウイルスの流行初期にも、ランサムウエア攻撃を仕掛ける一部のハッカー集団が、特定の機関を攻撃対象外とすると宣言したが、長続きはしなかった」と語るなど、信憑性には疑問が持たれている。
6月7日、FBIおよび司法省は、ダークサイドに支払われた身代金75BTCのうち、約85%にあたる63.7BTCを回収したと発表した。
7月2日、REvilはKaseyaを攻撃。数日後に犯行声明を出すも、13日には同グループのサイトは全てがダウンして繋がらない状態となっている。。
9月、再びHappy Blogが復活した。当初は、REvilが自らオンラインにしたのではなく法執行機関が何らかの理由で復活させたのでは、との見方もあったが、その後REvilによるランサムウェア攻撃を再開し完全に復活した。活動再開に貢献したのは、リーダー格である「0_neday」とされる。
10月21日、民間企業VMware、連邦政府機関と協力しREvilが使用していた「Happy Blog」を停止に追い込んだと発表した。VMwareのセキュリティ戦略責任者は「米連邦捜査局とその他の連邦政府機関、そして志を同じくする国々が、このグループによってさらなる企業に被害が拡大することを防いだ」と述べた。実際にREvilに対しハッキングを実行したのは、アメリカの同盟国のパートナーだったという。さらに別の関係者によると、REvilに関する作戦は依然として進行中であるとも述べている。
「0_neday」はダークウェブ上のハッカーフォーラムで、REvilの元メンバーだった「announ(unknown)」のキーを使ったアクセスによってサーバーが侵害されたとコメントしている。
11月8日、欧州刑事警察機構は数千件のランサムウェア攻撃を行ったとする7人の犯罪者を逮捕したと発表した。これは17カ国が参加する「GoldDust作戦」によって行われ、ルーマニア当局はが4日にSodinokibi/REvilに関わる2人を逮捕、同日クウェート当局が「GandGrab」関係者を逮捕、また2月と4月に韓国当局もREvil関係者3人を逮捕していたという。今回のGoldDust作戦は、 Bitdefender、KPN、マカフィーなどのセキュリティ企業も協力し、Bitdefenderは暗号化されたファイルを復号するツールを提供。これにより1400以上の企業が復号に成功し身代金を払わずに済んだという。
同日、アメリカ司法省がウクライナ国籍とロシア国籍の2人を起訴した。ウクライナ国籍の被告は7月にREvilを使用しKaseyaを攻撃、1500人に身代金を要求した疑いが持たれている。手に入れた身代金は開発グループと被告らで分け合っていたが、当局は支払われた身代金600万ドル(約6億9千万円)を押収した。またアメリカ財務省は、ランサムウエア攻撃に加担したとして暗号資産取引所「Chatex」に制裁を科すと発表した。
1月14日、ロシア連邦保安庁(FSB)がREvilのメンバー14名を拘束したと発表した。これはアメリカ当局の要請を受けたもので、FSBは25カ所の関係先を捜索し、4.2億ルーブル(約6.3億円)相当の暗号資産やコンピューター、高級車などを差し押さえた。メンバーの1人は、2021年5月のコロニアル・パイプラインの事件にも関わっていたとされる。