Sin embargo, el  inicio de la guerra de Ucrania lo cambió todo. La colaboración entre Estados Unidos y Rusia a este respecto fue cancelada de inmediato y, muy poco después, se produjo una primera señal que apuntaba a la vuelta de REvil a sus operaciones. las direcciones que apuntaban a sus antiguos sitios en la deep web, que durante meses no apuntaron a nada, empezaron a redirigir a un nuevo sitio en el que el grupo empezaba a informar, de nuevo, sobre sus acciones.

Esto por sí mismo no era prueba suficiente como para dar por cierto el retorno de REvil. Al fin y al cabo, hablamos de una de las organizaciones más populares de los últimos tiempos, por lo que es bastante probable que otros grupos intentaran capitalizar «la marca» como si fuera propia, para lograr de este modo un extra de visibilidad en sus ataques y campañas. ¿Poco ético? Sin duda, pero hablamos de ciberdelincuentes, así que no debería extrañarnos en absoluto.

Pero, según podemos leer en Bleeping Computer, el análisis de una nueva muestra de malware detectada in the wild sí que nos daría muestras de que el grupo vuelve a estar operativo. Y es que el análisis de dicho código tendría señales inequívocas de estar basado en los fuentes de el malware original de REvil, una herramienta a la que resulta muy, muy poco probable que sus responsables hayan compartido con terceros.

No parece casual, ni mucho menos, que la reaparición de REvil se produzca en el contexto de la guerra de Ucrania. Y es que, analizándolo con perspectiva, cada vez parece más claro que, de alguna manera, la administración rusa cuenta, desde hace bastante tiempo, con los medios necesarios para controlar la actividad del grupo. pues de lo contrario sería difícil explicar las detenciones y el cese de actividad del grupo justo en el momento en el que las relaciones con EEUU apuntaron en esa dirección. 

La ciberguerra es un elemento clave en este conflicto, como ya te contamos hace unas semanas. Así, podemos entender que Rusia habría podido decidir sumar a REvil como un activo más en su cibercampaña contra objetivos occidentales. Y es que sí, es cierto, el principal objetivo del ransomware, la especialidad del grupo, es el beneficio económico, pero indudablemente el impacto de estas acciones repercute también en otros muchos aspectos. Y en una situación como la actual, no hay que ser un gurú para entender entender que cualquier golpe al rival suma en el marcador global.

La caída de REvil

El ransomware REvil tuvo una larga trayectoria que comenzó en abril de 2019 como continuación de la operación GandCrab, la primera que estableció el modelo de ransomware como servicio (RaaS).

En agosto de 2019, la pandilla golpeó varias administraciones locales en Texas y exigió un rescate colectivo de $ 2.5 millones, el más alto en ese momento.

El grupo es responsable del ataque a la cadena de suministro de Kaseya que afectó a unas 1500 empresas y también provocó su desaparición el año pasado cuando las fuerzas del orden de todo el mundo intensificaron su colaboración para acabar con la banda.

Poco después de atacar a Kaseya, el grupo se tomó un descanso de dos meses sin saber que las fuerzas del orden habían violado sus servidores. Cuando REvil reinició la operación, restauraron los sistemas a partir de copias de seguridad, sin darse cuenta del compromiso.

A mediados de enero, Rusia anunció que cerró REvil después de identificar a miembros de la pandilla y arrestar a 14 personas.

Por el momento, EE. UU. ha dejado de colaborar con Rusia en amenazas a la seguridad cibernética, en particular ataques a infraestructuras críticas, como resultado directo de la invasión de Ucrania por parte de Rusia.

Fuentes:
https://www.muyseguridad.net/2022/05/04/se-confirma-la-vuelta-de-revil/