Après avoir causé d’immenses dégâts dans la sphère numérique l’année dernière, le groupe de pirates REvil fait un retour discret, mais qui n’est pas passé inaperçu. En effet, un nouveau ransomware infectant actuellement en masse des PC ressemble à s’y méprendre à celui qui a sévi en 2021.
Vous souvenez-vous de REvil ? Difficile en 2021 d’être passé à côté de ce collectif de pirates particulièrement prolifique. Si ces derniers mois ont été marqués par les attaques à répétition de LAPSU $, l’été dernier a vu s’enchaîner les opérations de grande ampleur des hackers russes. Leur plus grand fait d’armes est bien entendu le piratage de Kaseya, la plus grande cyberattaque de l’histoire d’Internet. Mais on les retrouve également derrière la distribution massive de leur ransomware éponyme qui a fait de nombreuses victimes.
On pensait REvil disparu après son démantèlement par les autorités russes. Des négociations devaient alors lieu avec les États-Unis concernant leur condamnation, mais entre temps, la guerre en Ukraine a éclaté et, par la même occasion, a coupé court aux discussions entre les deux puissances. Quelque temps plus tard, l’infrastructure de REvil a de nouveau montré des signes d’activité. Après enquête, il s’avère que cela n’est en rien un hasard du calendrier.
REVIL DÉPLOIE UN NOUVEAU RANSOMWARE ENCORE PLUS DANGEREUX
À première vue, le site TOR de REvil, sur lequel le ransomware redirige après avoir chiffré les données de sa victime, n’a rien à voir avec le précédent. Néanmoins, un échantillon du malware analysé par des experts révèle que la cyberattaque est bien coordonnée par le groupe de pirates. En effet, alors que les autres hackers utilisant REvil ne diffusent qu’une version patchée, cette version plus récente donne directement accès au code source du collectif.
Quelques changements sont toutefois notables. Notamment, cette nouvelle version offre une nouvelle option de configuration qui permet de cibler de manière très précise sa victime, ce qui évite de chiffrer les données d’un PC par erreur. De plus, le message affiché par le ransomware une fois exécuté débute par « Bienvenue, encore », ce qui indique clairement que les pirates n’en sont pas à leur coup d’essai.
Source : Bleeping Computer
