قبل عدة أيام توقف موقع تسريب عصابة REvil Ransomware ، والمعروف باسم "Happy Blog" عن الاتصال بالإنترنت، وتساءل خبراء الأمن السيبرانى، عما قد يتسبب في ظهور المجموعة سيئة السمعة مرة أخرى وفقا لما نقله موقع Arstechnica.
كانت إحدى النظريات أنها كانت وظيفة داخلية جذبت من قبل زعيم المجموعة السابق، وهناك سبب آخر هو أن تطبيق القانون نجح في اختراق المجموعة وتفكيكها. قال ألان ليسكا، خبير فيروسات الفدية، لـ ZDNet في ذلك الوقت: "عادةً ما أرفض بشدة نظريات المؤامرة" لإنفاذ القانون "، ولكن نظرًا لأن تطبيق القانون كان قادرًا على سحب مفاتيح هجوم Kaseya ، فهذا احتمال حقيقي" .
وذكرت وكالة رويترز أن عدة دول تعمل معًا قد قضت على عصابة برامج الفدية باستخدام أحد الأساليب المفضلة للتنظيم الإجرامي - عمليات النسخ الاحتياطي المخترقة.
على الرغم من أن مكتب التحقيقات الفيدرالي لا يعلق على الأمر، أكد خبراء الأمن السيبراني من القطاع الخاص ومسؤول أمريكي سابق، وفقًا لتقارير رويترز، فقد انخرط مكتب التحقيقات الفيدرالي، بالاشتراك مع القيادة الإلكترونية والخدمة السرية والدول ذات التفكير المماثل، في أعمال تخريبية كبيرة ضد هذه المجموعات بحسب توم كيليرمان، رئيس استراتيجية الأمن السيبراني في شركة VMware ومستشار الخدمة السرية الأمريكية بشأن الجرائم الإلكترونية وكان التحقيقات REvil على رأس القائمة
النجاح المكتشف حديثًا ضد العصابة ينبع جزئيًا من الحرية القانونية الجديدة لمتابعة مثل هذه العمليات الإجرامية، فقد قررت نائبة المدعي العام الأمريكي ليزا موناكو مؤخرًا أن هجمات برامج الفدية على البنية التحتية الحيوية تشكل تهديدًا للأمن القومي على قدم المساواة مع الإرهاب. سمح ذلك لوزارة العدل بتقديم المساعدة من البنتاجون ووكالات الاستخبارات الأمريكية.
قال كيليرمان: "في السابق لم يكن بإمكانك اختراق هذه المنتديات ، ولم يكن الجيش يريد أن يكون له علاقة بها."
كانت REvil واحدة من أكثر عصابات برامج الفدية شهرة في السنوات الأخيرة، ظهرت المجموعة لأول مرة في عام 2019 وخلال العام الماضي، جمعت قائمة غسيل بالضحايا، الأولى كانت شركة محاماة مشهورة مثلت ليدي جاجا ويو 2 ومادونا، رفضت الشركة دفع الفدية البالغة 21 مليون دولار، لذلك نشرت REvil بعض وثائق ليدي جاجا، بعد ذلك كانت الشركة المصنعة للعقد Quanta Computer، سرقت شركة REvil بيانات سرية من الشركة ونشرت تفاصيل اثنين من منتجات Apple، في مايو، اخترقت المجموعة عمليات شركة كولونيال بايبلاين، مما تسبب في نقص واسع النطاق في الوقود من نيو جيرسي إلى تكساس، في يونيو هاجمت شركة JBS، وهي شركة لتصنيع اللحوم وأغلقت مصانع في الولايات المتحدة وكندا وأستراليا.
وفي يوليو اخترق REvil برنامجًا من شركة Keseya لتكنولوجيا المعلومات، تم استخدام أدوات الإدارة عن بُعد المخترقة للشركة من قبل 54 مقدم خدمة لخدمة ما يصل إلى 1500 مؤسسة، تراوحت أعداد ضحايا الهجوم من محلات البقالة إلى المستشفيات والبلديات والشركات.
في سبتمبر كشف تقرير صادر عن صحيفة واشنطن بوست أن مكتب التحقيقات الفيدرالي قد اخترق خوادم REvil وحصل على مفتاح فك تشفير عالمي لكنه لم يخبر الضحايا لمدة ثلاثة أسابيع، في ذلك الوقت، شهد مدير مكتب التحقيقات الفيدرالي كريستوفر وراي أمام الكونجرس أن التأخير كان استراتيجيًا. قال: "نحن نتخذ القرارات كمجموعة، وليس من جانب واحد"، "هذه قرارات معقدة ... مصممة لإحداث أقصى قدر من التأثير، وهذا يستغرق وقتًا في مواجهة الخصوم حيث يتعين علينا حشد الموارد ليس فقط في جميع أنحاء البلاد ولكن فى جميع أنحاء العالم."
يبدو أن حجب المفتاح قد آتى ثماره، تمكن مكتب التحقيقات الفيدرالي والمتعاونون معه من التعمق في عمليات REvil بحيث ظلت برامج تطبيق القانون مخفية في النسخ الاحتياطية التي استخدمها مؤخرًا عضو العصابة "0_neday" لاستعادة العمليات، وتقل التقرير عن أوليج سكولكين نائب رئيس مختبر التحاليل الجنائية في شركة Group-IB الأمنية التي تقودها روسيا فى تصريح نقلته وكالة رويترز آنذاك، إنه عندما قام بتدوير الأمور مرة أخرى، منح سلطات إنفاذ القانون دون قصد الوصول إلى بعض الأنظمة.
وقال سكولكين: "من المفارقات أن تكتيك العصابة المفضل في المساومة على النسخ الاحتياطية انقلب ضدهم".