REvil

REvil, también conocido como Sodinokibi, es un ransomware de alto impacto que operó bajo el modelo Ransomware-as-a-Service (RaaS) desde al menos abril de 2019, convirtiéndose en uno de los grupos de cibercrimen más prolíficos y temidos de la historia. Considerado el sucesor directo del ransomware GandCrab, REvil estableció las bases operativas que luego seguirían otras grandes bandas como LockBit o RansomHub. Su estructura jerárquica y su programa de afiliados fueron diseñados para maximizar el alcance y la eficiencia de sus ataques, atrayendo a múltiples actores para desplegar el malware a cambio de una parte de las ganancias. El grupo se hizo famoso por sus tácticas de doble extorsión: robaban datos sensibles de las víctimas antes de cifrar sus sistemas y luego amenazaban con publicarlos en sitios de filtraciones dedicados, aumentando la presión para el pago de rescates millonarios.

Técnicamente, REvil era un ransomware altamente configurable que empleaba técnicas avanzadas para asegurar el éxito del cifrado y evadir defensas. Utilizaba Salsa20 para el cifrado de archivos y RSA para proteger las claves, y en su configuración se podían especificar listas de procesos y servicios a terminar antes de comenzar el cifrado, así como la eliminación de las copias de sombra de volumen (VSS) para impedir la recuperación. Entre sus capacidades más notables se incluía el uso de un exploit para la vulnerabilidad de elevación de privilegios en Windows CVE-2018-8453 y la técnica de Heaven's Gate para ejecutar código de 64 bits desde un proceso de 32 bits, eludiendo hooks de seguridad y complicando el análisis. Además, los operadores implementaron un backdoor secreto que les permitía descifrar archivos con su propia clave sin el conocimiento del afiliado, lo que erosionó la confianza en el programa de afiliados cuando se hizo público. En el ataque a Kaseya, el grupo utilizó DLL sideloading combinado con un binario legítimo de Microsoft y una versión antigua de Microsoft Defender para deshabilitar las protecciones antes de desplegar el ransomware.

El impacto de REvil fue global y devastador, llevando a cabo algunos de los ataques más disruptivos de la historia del ransomware. Su ataque a JBS Foods en mayo de 2021 forzó el cierre de plantas procesadoras de carne en Estados Unidos, Australia y Canadá, llevando a la compañía a pagar 11 millones de dólares en Bitcoin. El ataque de julio de 2021 contra el proveedor de software de gestión remota Kaseya fue el más significativo: el grupo explotó vulnerabilidades zero-day para distribuir el ransomware a través de los servidores VSA de la empresa, afectando potencialmente a más de 1,500 empresas en una sola campaña de cadena de suministro y exigiendo un rescate de 70 millones de dólares. La operación de REvil fue finalmente desmantelada en 2022 por autoridades rusas, y en 2026 la Oficina Federal de Policía Criminal de Alemania (BKA) identificó oficialmente a sus líderes: Daniil Maksimovich Shchukin (alias "UNKN") y Anatoly Sergeevitsch Kravchuk como responsables de al menos 130 ataques en Alemania, con daños económicos estimados en más de 40 millones de dólares.

Funcionamiento de REvil

1. Cadena de Infección y Distribución

REvil se distribuía principalmente a través de su programa de afiliados (RaaS), donde los operadores proporcionaban el malware y la infraestructura a cambio de un porcentaje de los rescates pagados. Los vectores de entrega documentados incluyen:

Campañas de phishing: Correos con archivos adjuntos maliciosos (documentos de Office con macros, archivos VBS, JS) que descargaban el ransomware desde infraestructura C2
Explotación de vulnerabilidades: Uso de exploits para vulnerabilidades como CVE-2018-8453 (elevación de privilegios en Windows), CVE-2019-2725 (Oracle WebLogic) y, en el ataque a Kaseya, múltiples zero-days
RDP comprometidos: Acceso inicial a través de credenciales de RDP obtenidas mediante fuerza bruta o compra en mercados clandestinos
DLL sideloading: En el ataque a Kaseya, utilizaron un binario legítimo de Microsoft con una DLL maliciosa para desactivar Microsoft Defender
Actualizaciones falsas: Distribución a través de actualizaciones de software falsas o sitios web comprometidos

2. Técnicas de Evasión y Antianálisis

REvil implementaba múltiples capas de evasión para frustrar el análisis y la detección:

Heaven's Gate: Técnica que permite a procesos de 32 bits ejecutar código de 64 bits, evadiendo hooks de usuario de 32 bits y realizando syscalls nativas x64. Esto complicaba significativamente el análisis dinámico y la detección por parte de soluciones EDR.
Desactivación de defensas: Terminaba procesos de antivirus y soluciones EDR, y eliminaba copias de sombra de volumen (VSS) para impedir la recuperación.
Ofuscación y empaquetado: El malware estaba fuertemente ofuscado y empaquetado con protectores comerciales como VMProtect y Themida, dificultando el análisis estático.
Anti-debugging: Detección de herramientas de depuración y entornos de análisis, con comportamientos alternativos si se detectaba un entorno de sandbox.
Self-deletion: Eliminación del ejecutable original después del cifrado para complicar el análisis forense.

3. Proceso de Cifrado

El cifrado de REvil seguía un proceso meticulosamente diseñado para maximizar la eficiencia y la irreversibilidad:

Generación de claves: Para cada víctima, se generaba un par de claves RSA-2048 único en el servidor C2. La clave pública se enviaba al malware, mientras que la clave privada se almacenaba en el servidor de los atacantes.
Cifrado de archivos: REvil utilizaba Salsa20 para el cifrado de archivos, un cifrado de flujo rápido y eficiente. Cada archivo se cifraba con una clave Salsa20 única generada aleatoriamente.
Protección de claves: La clave Salsa20 de cada archivo se cifraba con la clave pública RSA-2048 de la víctima y se almacenaba junto al archivo cifrado.
Adición de extensión: Los archivos cifrados recibían extensiones como .revil, .lock, .sodin o nombres de archivo aleatorios, dependiendo de la campaña.
Cambio de fondo de pantalla y notas de rescate: REvil cambiaba el fondo de pantalla de la víctima a un mensaje de rescate y creaba archivos README.txt o READ_ME.html en cada carpeta cifrada.

4. Comunicación C2 y Panel de Control

REvil operaba con una infraestructura C2 sofisticada que permitía a los operadores gestionar víctimas y afiliados:

Panel de administración: Los operadores tenían acceso a un panel web donde podían monitorear las infecciones activas, gestionar claves de descifrado y comunicarse con las víctimas para la negociación del rescate.
Sitios de filtraciones: El grupo mantenía un sitio web en la darknet llamado "Happy Blog", donde publicaban datos de víctimas que no pagaban el rescate, aumentando la presión para el pago.
Backdoor secreto: Se descubrió que los operadores de REvil habían implementado un backdoor que les permitía descifrar los archivos de las víctimas con su propia clave sin el conocimiento del afiliado, lo que generó desconfianza y controversia dentro del ecosistema RaaS.

Impacto y consecuencias de REvil

1. Ataques de Alto Perfil y Consecuencias Económicas

Los ataques de REvil tuvieron un impacto económico devastador a nivel global:

JBS Foods (mayo 2021): El ataque a la empresa de procesamiento de carne más grande del mundo forzó el cierre de plantas en Estados Unidos, Australia y Canadá, causando una interrupción significativa en la cadena de suministro de alimentos. JBS pagó un rescate de 11 millones de dólares en Bitcoin para restaurar sus sistemas.
Kaseya (julio 2021): El ataque más significativo de REvil. El grupo explotó múltiples vulnerabilidades zero-day en los servidores VSA de Kaseya, un proveedor de software de gestión remota utilizado por miles de empresas. El ransomware se distribuyó a través de las actualizaciones legítimas de Kaseya, afectando a más de 1,500 empresas en una sola campaña de cadena de suministro. REvil exigió un rescate de 70 millones de dólares por la clave de descifrado masivo.
Otros objetivos: REvil atacó a numerosas empresas de tecnología, manufactura, logística y servicios, incluyendo Travelex, Brown-Forman, y Kennesaw State University, acumulando rescates estimados en más de 100 millones de dólares en total.

2. Consecuencias para la Ciberseguridad y la Industria

El legado de REvil transformó el panorama de la seguridad cibernética:

Establecimiento del modelo de doble extorsión: REvil fue pionero en la combinación de cifrado de archivos con amenazas de publicación de datos robados, un modelo que luego fue adoptado por casi todas las bandas de ransomware importantes.
Carrera armamentista defensiva: La sofisticación técnica de REvil forzó a la industria a desarrollar nuevas capacidades de detección, incluyendo monitoreo de comportamientos anómalos, detección de técnicas de inyección de procesos y análisis de tráfico C2.
Respuesta gubernamental: Los ataques de alto perfil de REvil llevaron a una mayor cooperación internacional en la lucha contra el ransomware, culminando en el desmantelamiento del grupo por parte de las autoridades rusas en 2022 y la identificación de sus líderes por el BKA en 2026.

3. Consecuencias Regulatorias y Legales

El impacto de REvil trascendió el ámbito técnico para generar consecuencias legales y regulatorias significativas:

Sanciones y listas negras: El grupo fue sancionado por el gobierno de Estados Unidos, y sus cuentas de criptomonedas fueron rastreadas y congeladas.
Demandas y litigios: Las víctimas de REvil presentaron demandas contra las empresas afectadas por negligencia en la protección de datos, y se iniciaron investigaciones sobre el papel de los intermediarios de criptomonedas en el lavado de dinero de los rescates.
Regulación del ransomware: El impacto de REvil contribuyó a la implementación de nuevas regulaciones en varios países, incluyendo la obligación de reportar ataques de ransomware a las autoridades y la prohibición de pagar rescates en algunos casos.

4. Lecciones para la Defensa

El análisis de REvil ofrece varias lecciones técnicas y estratégicas para equipos de seguridad:

Monitoreo de inyección de procesos: Detectar técnicas como Process Hollowing y Reflective Code Loading en procesos legítimos como aspnet_compiler.exe o explorer.exe.
Auditoría de DLL sideloading: Monitorear la carga de DLLs no firmadas en procesos legítimos, especialmente en directorios no estándar.
Segregación de red: Aislar sistemas críticos y segmentar redes para limitar el movimiento lateral en caso de infección.
Copias de seguridad offline: Mantener copias de seguridad en ubicaciones offline y con versionado para recuperarse de ataques de ransomware sin necesidad de pagar rescates.
Formación de usuarios: Capacitar a los empleados para reconocer correos de phishing y evitar la ejecución de archivos adjuntos sospechosos.

Origen y motivación de REvil

REvil (también conocido como Sodinokibi) fue un ransomware operado bajo el modelo Ransomware-as-a-Service (RaaS) por un grupo de cibercriminales con presuntos vínculos con Rusia, que estuvo activo desde al menos abril de 2019 hasta su desmantelamiento en 2022. La motivación principal del grupo era económica, generando ingresos a través del pago de rescates millonarios por parte de las víctimas, que en total se estiman en más de 100 millones de dólares. Los operadores principales fueron identificados por el BKA en 2026 como Daniil Maksimovich Shchukin (alias "UNKN") y Anatoly Sergeevitsch Kravchuk, ambos de nacionalidad rusa, quienes diseñaron y gestionaron el programa de afiliados que permitía a otros ciberdelincuentes desplegar el malware a cambio de una parte de las ganancias. La motivación no era ideológica ni política, sino puramente lucrativa, aprovechando la creciente dependencia de las organizaciones de sus sistemas digitales y la disposición de muchas a pagar rescates para evitar la interrupción operativa y la exposición de datos sensibles.

Relación de acciones para mitigar el riesgo de esta actividad maliciosa.

Familias de malware