REvil
2020年5月、REvilはグラブマンから盗んだデータを調べているうちにドナルド・トランプ大統領に関する重大な秘密を得たと発表。犯行声明では「次に公開しようと考えているのはドナルド・トランプだ。選挙戦の最中に公表されると恥ずかしいだろうと思われる大量の情報を発見した。大統領の座に居座りたいなら、マシな対応をしなければ、お前の野心は永遠に失われることになるだろう。そして有権者の諸君は、もしこの情報を見れば彼に大統領で居続けてほしいとは思わなくなるだろう。まあ細かいことは省くとして、期限は一週間だ」とし、4,200万ドルを要求した。REvilは、同社がデータを保護するために使用していた楕円曲線暗号を解読してこれを行ったと主張した。メンバーとされる人物のインタビューによると、トランプの情報の買い手が見つかったとのことで、データの公開は行わなかった。
後のインタビューで、身代金を要求していたのはトランプ大統領ではなくグラブマンに対してで、データの内容はトランプ大統領の子会社による税金回避の様々なスキームに関するものだったという。
REvilはRaaS(サービスとしてのランサムウェア)と呼ばれるスキームを採用しており、被害者毎に固有のBTCウォレットを生成する、自分たちの開発したランサムウェアを配布するアフィリエイトを募集している。この取り決めの一環として、奪った身代金で得た収益をREvilとアフィリエイト利用者で分配する。
セキュリティ企業マカフィーがREvilのビットコインの流れを分析したところ、金額の一部がウォレットから転送されるか、取引所で購入され、アフィリエイト・ウォレットに転送される。ビットコインミキサー「Bitmix.biz」は次のトランザクションを難読化して、追跡を困難にしている。「調べると非常に興味深いパターンを発見できます。まず、指定ウォレットに犠牲者が支払っている事が確認できます。そこからアフィリエイター、またはディストリビューション・ウォレットに送られるまで、平均2〜3回のトランザクションが発生しています」。さらに「そのウォレットから分割が確認できます。60%または70%はアフィリエイトに留まり、残りの40~30%は複数回のトランザクションでSodinokibiの背後にいるアクターに送られます」とし、報酬が分配されていることが確認されている。