REvil
5月14日、アメリカの大手石油パイプライン「コロニアル・パイプライン」を操業停止に追い込んだダークサイドが活動を停止した。5月17日、米政府の圧力が強まる中、ハッカー集団AvaddonとREvilは、政府機関、非営利団体、医療機関への攻撃を中止する方針を示した。 しかしサイバーセキュリティ会社レコーテッド・フューチャーは「新型コロナウイルスの流行初期にも、ランサムウエア攻撃を仕掛ける一部のハッカー集団が、特定の機関を攻撃対象外とすると宣言したが、長続きはしなかった」と語るなど、信憑性には疑問が持たれている。
6月7日、FBIおよび司法省は、ダークサイドに支払われた身代金75BTCのうち、約85%にあたる63.7BTCを回収したと発表した。
7月2日、REvilはKaseyaを攻撃。数日後に犯行声明を出すも、13日には同グループのサイトは全てがダウンして繋がらない状態となっている。。
9月、再びHappy Blogが復活した。当初は、REvilが自らオンラインにしたのではなく法執行機関が何らかの理由で復活させたのでは、との見方もあったが、その後REvilによるランサムウェア攻撃を再開し完全に復活した。活動再開に貢献したのは、リーダー格である「0_neday」とされる。
10月21日、民間企業VMware、連邦政府機関と協力しREvilが使用していた「Happy Blog」を停止に追い込んだと発表した。VMwareのセキュリティ戦略責任者は「米連邦捜査局とその他の連邦政府機関、そして志を同じくする国々が、このグループによってさらなる企業に被害が拡大することを防いだ」と述べた。
国家が関与しないサプライチェーン(供給網)攻撃の中では過去最大規模、ランサムウェア攻撃の中では過去2番目の規模になるかもしれないと推定しているが、どの程度の影響が出ているかは、連休明けになるまで分からないとしている。
同日夜、関与が疑われていたREvilがダークウェブ上のHappy Blogで、身代金として7000万ドル(約78億円)支払えばすべての暗号化を解除するツールを提供するとの犯行声明を出した。 「我々は金曜日(7月2日)にMSPへの攻撃を開始し、100万台以上のシステムを感染させた。もし誰かがユニバーサルデクリプターについて交渉したいのであれば、我々の提示する金額はBTCで7000万ドルだ。支払えばすべての被害者の暗号化されたファイルを復号するデクリプターを公開する。これで誰もが1時間以内に攻撃から回復することができるだろう。この取引に興味のある者は、感染したPCに残された「readme」ファイルの指示に従って我々にコンタクトせよ」と脅迫した。その後、ロイターの取材に対し「われわれは常に交渉の用意がある」とし、交渉次第では減額の可能性も示している。
レコーデッド・フューチャーは、この投稿がREvilの中心的人物によるものであることが「ほぼ確実」だと分析した。 セキュリティ研究者のマーカス・ハッチンズは、REvilが個々の被害者へのMonero請求と並行してビットコインでも身代金を要求していることについて、「私は100万のシステムが感染したという主張には非常に懐疑的だ。私が見たところでは、彼らは個々の組織を恐喝するための手段を持っていないことを示しており、それでKaseyaあるいはどこかの政府に7000万ドルでマスターキーを買わせようとしているということだ」との見解を示した。