REvil
2020年9月、チリの大手銀行BancoEstado銀行で従業員が不審なファイルを開けたことがきっかけでマルウェアが仕込まれ、全ての支店を閉鎖することを余儀なくされた。銀行側は沈黙を貫いたが、REvilが「我々がその攻撃を仕掛けた。企業が攻撃元について口を閉ざすことはよくある。企業にとって評判は重要だ。特に、それは株価の値下がりに影響を与え得る」と犯行を名乗り出ている。
2021年7月2日、フロリダ州に拠点を置くIT企業でクライアント管理サービスを手掛けるKaseya(英語版)は、IT環境管理サービス「VSA」のオンプレミス版が高度なサイバー攻撃を受けたと発表した。影響を受ける顧客は最大で約3万6000社にのぼるが、Kaseyaは直接影響を受けたのが確認されたのは約40社にとどまると説明した。しかし、今回標的とされた同社のソフトは企業のバックオフィスのシステム運用保守を代行するマネージドサービスプロバイダーに利用されており、そこから連鎖的にランサムウェアが拡散していった。
Kaseyaは多くのMSPの間で利用されており、使用しているある日本の企業のサイトには「Kaseyaは、全世界のMSP事業者の過半数で利用されている」とシェア率の高さが謳われている。現在判明しているだけで8つのMSPが侵入されていたが、ハッカー集団がどこから侵入したのかはまだ判明していない。未知の脆弱性を利用したゼロデイ攻撃だったとされる。
これまでのところVSAを自社の設備で運用するオンプレミス版を利用している企業だけに影響が出ており、クラウドでSaaSとして使用していた企業は影響を受けていないとされている。だが同社は念のためSaaSサーバもオフラインにしており、顧客へは保護のためすべてのVSAを停止するよう呼び掛けている。攻撃を受けるとVSAに管理者権限でアクセス不能になるためだという。
技術情報サイトのBleeping Computerによると、この攻撃で200社もの企業のデータが暗号化されたという。スウェーデンで800店余りを展開する最大級の食料品チェーン「コープ」では、レジが操作できなくなり店舗が休業に追い込まれている。
さらにファイルを暗号化し使用不可能にもする。デフォルトのWindowsバックアップメカニズム(シャドウコピー)や、NASやテープといったバックアップファイルを削除し、自力では復旧できないようになる。暗号化されたファイルを復号するツールを受け取るには身代金を支払わなければならない。この様な手法は「二重脅迫型」と呼ばれている。
REvilは攻撃する対象を決めてから狙う「標的型攻撃」を行う。2017年5月にWannaCryというランサムウェアが猛威を振い、150か国の23万台以上のコンピュータに感染した。しかしREvilは「WannaCryは非常に愚かで、かつ管理不能な実験だった」と酷評している。理由は「大きな騒ぎを起こして、利益が10万ドルにも満たないというのは滑稽である」と商業的な失敗を挙げた。ランサムウェアSodinokibiは、RCE(リモートコード実行)を使ったエクスプロイトがないため、ワームのように、外部ネットワークの他のパソコンに自動的に感染することはないが、大量に感染させても(身代金的には)旨味がなく、金銭的に余裕のある大企業のみをピンポイントで狙った方がはるかに効率的だという。