謎の失踪を遂げたハッカー集団「REvil」のダークウェブサーバーが突然の復活

2021年7月にIT管理サービス「Kaseya」を標的とした大規模なランサムウェア攻撃をして以降、目立った動きを見せることなく突如ダークウェブから姿を消したサイバー犯罪組織「REvil」が、再び自身のウェブサイトを復活させたことが分かりました。これがREvilの活動再開を意味しているのか、法執行機関が捜査や押収のためにサイトをオンラインにしたのかは、記事作成時点では分かっていません。

REvil ransomware’s servers mysteriously come back online
https://www.bleepingcomputer.com/news/security/revil-ransomwares-servers-mysteriously-come-back-online/

REvil ransomware group returns following Kaseya attack – The Record by Recorded Future
https://therecord.media/revil-ransomware-group-returns-following-kaseya-attack/

ロシアを拠点とするREvilは、世界的な食肉大手のJBSや台湾のPCメーカーであるAcerなどに対して大規模なランサムウェア攻撃を仕掛けたことで知られるサイバー犯罪組織です。直近では、2021年7月にIT管理サービスのKaseyaを標的としたサプライチェーン攻撃を仕掛け、複数のマネージドサービスプロバイダとその顧客らに甚大な被害をもたらしました。

IT管理サービス「Kaseya」を標的にしたランサムウェアの大規模攻撃で多数の企業に間接的影響 – GIGAZINE

日本企業を含む世界的な企業に相次いでサイバー攻撃をしかけていたREvilですが、7月13日に突然Torで公開していた「Happy Blog」というリークサイトと身代金受領用のサイトの両方を閉鎖させました。閉鎖の理由は不明で、「注目を集めすぎたので姿をくらました」ことや、「単純に技術的な問題」などの可能性が指摘されています。

インフラを狙うロシアのハッカー集団のウェブサイトが謎の消失 – GIGAZINE

IT系ニュースサイトのBleeping Computerとセキュリティ企業のRecorded Futureは9月7日に、Happy Blogが再びオンラインになったと報じました。ブログに掲載されているリーク情報は、7月13日に閉鎖された時点のもので、新しい情報はないとのこと。

また、REvilが身代金の受領に使っていた支払いサイトもオンラインになりましたが、ログインはできない状況です。

Recorded Futureによると、記事作成時点ではセキュリティ研究者らがREvilの新しい攻撃を発見したとの報告はないとのこと。また、Bleeping Computerは「現時点では、REvilが復活したのか、サーバーが誤ってオンになったのか、法執行機関によるものなのかは不明です」と述べました。