REvil
2019年8月、テキサス州内の約20の地方自治体への一斉攻撃に関与したとみられている。原因の1つとして利用していたマネージドサービスプロバイダ(MSP)の侵害が推測されている。
REvilの活動が初めに確認されたのは2019年4月とされる。 サイバーセキュリティの専門家は、REvilはハッカー集団「GandCrab」から派生したものであると考えている。GandCrabはかつては世界的な全ランサムウェア感染の40%を占めていたこともある悪名高い組織。GandCrabのオペレーターは2019年5月に「1年ちょっとで十分なお金を稼いだし悪事を働いても逃げおおせると証明できた」と引退を表明したが、その前後にREvilが活動を開始したことや、両グループのランサムウェアにかなりの類似点があることなどから関連性が疑われている。例えば、攻撃から除外するホワイトリスト、韓国のセキュリティ企業アンラボなど特定の企業をプロセスインジェクションの標的としていること、感染したマシンの情報を送信するC&CサーバーのURL生成ルーチンにおける類似性などである。
この分配比率に関してREvilは「主要な仕事をするのはランサムウェアを感染させる人物であり、ソフトウェア自体は単なるツールである。このような配分は妥当だと思う」と、アフィリエイターの方が多く受け取るのは当然だとしている。身代金は開発者が最初に受け取り、システムによって自動的に分配される。
アフィリエイターではなく、開発者たちが攻撃することもあるという。しかし、結果的にRaaSモデルの方が儲けを出し、最終的により多くの利益を出すことができるため外部の人材を利用している。
ただアフィリエイターになるには「選択のプロセスは非常に厳しく、疑わしい、もしくは見慣れない候補者は、我々のコミュニケーションツールに加えることすらない」と審査の厳しさを語っている。
過去にはNSAやCIAといった秘密機関がパートナーを装って接触してきた事もあったが、そのような人々は、旧ソ連諸国に共通な社会政治的な議論を通じたチェックで容易に特定できたという。中にはロシア語話者もいたが、この仕事に関する特定の側面に話が及んだ際に、回答はあてずっぽうだったため、即座に拒否したという。
この件でKaseyaに協力しているセキュリティ企業Huntress Labsは、既に1000社余りが影響を受けているとしており、アンチウイルスソフトウェア企業Emsisoftも「ひとつのMSPが侵害されただけで、数百のエンドユーザーに影響が及ぶことがあります。今回のケースでは複数のMSPが侵害されたようですから...」と、被害数は世界中でさらに増えると予想している。
BleepingComputerは、被害を受けたMSPに500万ドル(約5億5000万円)、そのMSPの個別の顧客に4万4999ドル(約550万円)を要求していると報じている。 英セキュリティ企業Sophosによると、仮想通貨のMoneroで支払うように指示されていたという。Kaseyaは外部セキュリティ企業からの勧告で、脅迫文に書かれているリンクは武器化されている可能性があり、どのリンクもクリックするべきではないと被害企業に警告している。
7月3日、Kaseyaは事件後、このインシデントに関する最新情報を継続的に発信し続けており、3日には侵害検出ツールを提供すると発表し、要望のあった900社の顧客にロールアウトした。
Huntress Labsとウォールストリート・ジャーナルは、この攻撃にはREvilが関わっている可能性が高いと報じているが、バイデン大統領は「まだ分からない」と述べるにとどめた。今後、情報機関に調査を指示した上で、もしロシアが関与したと判定されれば、米国は対応することになるとした。
FBIは声明を発表し、国土安全保障省のサイバーセキュリティー・インフラストラクチャセキュリティー庁(CISA)と協力して調査を開始したとした上で、Kaseyaを利用していた企業に対応策を実施するよう呼び掛けた。