REvil
2021年4月20日、ニューヨークの地下鉄やバスを運営するメトロポリタン・トランスポーテーション・オーソリティ(MTA)はサイバー攻撃を受けていたことを6月に入ってから公表した。同社の技術部門は、運行システムに支障が出たり、利用者・従業員の情報にアクセスされたりした形跡は見つからず、影響は軽微で利用者に危険は及ばなかったと説明している。 この事件は中国政府の支援を受けているハッカー集団によるものとする報道もあるが、中国外務省は「根拠なく推測すべきでない」と関与を否定している。
7月12日、サイバーコンサルティング会社や国防総省に勤務する研究者が、身代金のビットコインを追跡して記録するサイトを立ち上げた。ビットコインは透明性があるためアドレスを追跡しやすいという。現時点の被害総額1位は「Netwalker(Mailto)」、2位「REvil/Sodinokibi」となっている。
Kaseyaが脆弱性を修正したVSAのアップデートをリリースした。REvilは、VSAに潜んでいた脆弱性を悪用し、認証処理をバイパスするとともに悪意あるコードを実行して、顧客のエンドポイントにランサムウェアを送り込もうとしていた。リリースノートによると、共通脆弱性識別子が割り当てられた3つの脆弱性、認証情報の漏えいとビジネスロジックの欠陥(CVE-2021-30116)、クロスサイトスクリプティングの脆弱性(CVE-2021-30119)、二要素認証のバイパスにつながる問題(CVE-2021-30120)などが修正されているという。
7月13日、REvilを追跡しているセキュリティ専門家によると、同グループのサイトやインフラがダウンしネット上からアクセスできなくなっていると報告した。消滅した理由は現時点で不明で、逃亡するための計画的なシステムダウン説から、グループ内での紛争説、政府機関による一斉攻撃説などが飛び交っているが、FBIやサイバー軍はこの件に関して声明は発表していない。
11月8日、アメリカ司法省がウクライナ国籍とロシア国籍の2人を起訴した。ウクライナ国籍の被告は7月にREvilを使用しKaseyaを攻撃、1500人に身代金を要求した疑いが持たれている。
2021年3月18日、REvilの関連グループが、多国籍ハードウェア・エレクトロニクス企業であるAcerの顧客データベースに侵入し、口座番号や与信限度額データを盗みだし、さらにランサムウェアを仕込んだとダークウェブ上にの自分たちのリークサイトで主張した。暴露されたデータには取引先とみられる多数の日本企業名も記載されていた。
サイバーセキュリティ企業であるAdvanced Intel社は、2021年3月5日からAcerのサーバーが狙われている最初の兆候が見つけた。犯行の手口はマイクロソフトのメールサーバー「Exchange Server」の脆弱性を利用したとされる。2021年 Microsoft Exchange Server データ流出(英語版)も参照。
システムを暗号化され、復号と盗んだファイルを削除するには5000万ドルを支払えと要求した。Acerの幹部と犯行グループの間の交渉チャット履歴では、Acerが3月24日までに支払いを行う場合、20%の値引きに応じるとREvilらが持ちかけたことが記載されている。しかし、8日間が経過した後も支払われない場合は、金額を1億ドル(約109億円)に増額すると記載されている。 5000万ドルおよび1億ドルという身代金額は(当時の)過去最高額とされている。
エイサーはマスコミの取材に対し「異常を検知し、対策を講じた。身代金を支払う予定はなく、捜査機関に状況を報告している」と説明。要求には応じないとしている。