Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
REvil
REvil, también conocido como Sodinokibi, es un notorio actor de amenazas de ransomware-as-a-service (RaaS), observado por primera vez en 2019. Ampliamente atribuido como un grupo de habla rusa con base en Rusia, es conocido por sus operaciones de alto impacto que atacan industrias a nivel global con tácticas de doble extorsión. Sus ataques han causado grandes interrupciones, afectando a organizaciones desde pequeñas empresas hasta corporaciones internacionales.
Perfil del actor de amenazas
REvil
País de origen
Ampliamente clasificado como un grupo con base en Rusia y de habla rusa. Los indicadores incluyen presencia en foros en idioma ruso, verificaciones geolingüísticas en el malware diseñado para evitar atacar sistemas que usan idiomas de la CEI, y atribuciones constantes de EE. UU. y la UE que describen la operación como originada en Rusia.
Miembros
REvil operaba como un RaaS clásico. Un pequeño grupo de desarrolladores y administradores centrales proporcionaba el malware, los portales de pago, el sitio de filtraciones y el soporte; un elenco rotativo de afiliados se encargaba de las operaciones de intrusión, el movimiento lateral, el robo de datos y la negociación. Los pagos promedio reportados y las altas exigencias de rescate indican un enfoque agresivo de "caza de grandes presas". Se desconocen el número exacto de miembros, la división de ingresos y la lista de afiliados.
Liderazgo
El "liderazgo" público surgió principalmente a través de identidades falsas en foros criminales, en lugar de nombres reales. Dos apodos recurrentes son clave para entender la narrativa operativa de REvil: "Unknown" / "UNKN": un vocero y reclutador en foros en idioma ruso durante el apogeo de REvil, y "0_neday", un representante posterior que apareció después de mediados de 2021; los problemas de infraestructura y los presuntos compromisos coincidieron con este período.
Más allá de estos apodos, las identidades reales creíbles siguen sin confirmarse en su mayoría.
TTPs de REvil
tácticas
REvil atacaba principalmente a grandes organizaciones en sectores críticos, usando ransomware de doble extorsión para cifrar datos y exfiltrar información sensible con fines de lucro. Su enfoque en la "caza de grandes presas" se reflejaba en las altas exigencias de rescate, con una presión cada vez mayor mediante la humillación pública y amenazas de filtración de datos.
técnicas
El grupo explotó una variedad de técnicas para lograr sus objetivos:
Explotación de vulnerabilidades zero-day (por ejemplo, Kaseya VSA).
Recolección de credenciales mediante campañas de phishing o fuerza bruta por RDP.
Implementación de ransomware usando herramientas living-off-the-land como PowerShell.
Procedimientos
Los afiliados de REvil seguían un proceso de intrusión estructurado:
Obtención de acceso inicial a través de vulnerabilidades identificadas o señuelos de phishing.
Implementación de Cobalt Strike y otras herramientas para el movimiento lateral y la escalada de privilegios.
Cifrado rápido de archivos en todos los sistemas, junto con la preparación y extracción de datos confidenciales para aumentar las exigencias de rescate.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
-
Operación Data Lockdown (2022): un ataque de ransomware que paralizó las operaciones de importantes empresas de logística, causando millones en daños e interrumpiendo cadenas de suministro a nivel global.
-
Brechas en el sector salud (2023): múltiples hospitales reportaron brechas de datos, lo que llevó al compromiso de información sensible de pacientes y pérdidas financieras significativas.
-
Espionaje en la industria tecnológica: una campaña que resultó en el robo de propiedad intelectual de varias empresas de software prominentes.
Aplicación de la ley y arrestos
Represión internacional en 2023: un esfuerzo coordinado de las fuerzas del orden a nivel mundial desmanteló la infraestructura vinculada a {threat-actor-name}, lo que llevó a múltiples arrestos y confiscaciones de activos. Las fuentes incluyen Europol, Interpol, y múltiples agencias nacionales.
Arrestos de alto perfil en 2021: las autoridades en Europa del Este detuvieron a miembros clave de este grupo, lo que redujo significativamente su capacidad operativa. Más detalles fueron reportados por Reuters y BBC News.
Colaboraciones continuas: las fuerzas del orden siguen trabajando con empresas privadas de ciberseguridad como Huntress para interrumpir las operaciones del grupo.
Cómo defenderte de REvil
1
Parchado regular – Asegúrate de que todos los sistemas y software se mantengan actualizados para cerrar vulnerabilidades conocidas.
2
Autenticación multifactor (MFA) – Implementa MFA en todas las cuentas para prevenir el acceso no autorizado.
3
Capacitación de empleados – Educa al personal sobre estafas de phishing y tácticas de ingeniería social usadas por los atacantes.
4
Segmentación de redes – Limita el movimiento del atacante dividiendo lógicamente las redes y minimizando el acceso.
5
Herramientas de detección y respuesta ante amenazas – Usa las herramientas de Huntress para monitorear e identificar amenazas potenciales en tiempo real, lo que permite una respuesta rápida a incidentes.
6
Planes de respaldo y recuperación – Mantén copias de seguridad cifradas y fuera de línea, probadas regularmente para la restauración de datos.
7
Monitoreo continuo – Aprovecha la detección avanzada de amenazas de Huntress para monitorear comportamientos inusuales y mitigar ataques rápidamente.
Referencias
