REvil / Sodinokibi

Résumé de la gestion

Le groupe était lié à la double extorsion, aux demandes de rançon élevées et aux attaques qui pouvaient tirer parti des fournisseurs de services gérés ou des plateformes de gestion. Pour les visiteurs, le cas Kaseya VSA- est particulièrement important : lorsque les plates-formes de gestion sont abusées, un seul chemin d'accès peut toucher plusieurs organisations à la fois.

Le profil montre pourquoi RMM, MSP- accès, distribution de logiciels et gestion privilégiée nécessitent des couches de sécurité séparées. Une organisation peut être techniquement bonne aux terminaux mais encore vulnérable à travers la plate-forme qui gère ces terminaux.

La principale leçon est que la chaîne d'approvisionnement ransomware n'est pas seulement un problème de fournisseur. Les clients doivent savoir quels outils de gestion sont actifs dans leur environnement, quels droits ils ont, comment les mises à jour sont validées et comment rapidement les abus peuvent être arrêtés.

Groupement et développement

Le groupe a gagné une notoriété supplémentaire de la part des grandes victimes et de la campagne Kaseya VSA- en juillet 2021.

CISA et FBI ont publié des directives sur l'attaque de ransomware de la chaîne d'approvisionnement Kaseya VSA. Ce guide a mis en évidence entre autres le désactivation ou la sécurisation de VSA- serveurs, indicateurs, étapes de récupération et de surveillance.

Bien que le REVil ait été perturbé en tant que marque, l'exemple de l'écosystème demeure actuel : les plates-formes de gestion demeurent attrayantes pour les agresseurs parce qu'elles offrent une distribution fiable, des droits et une couverture du réseau.

Les attaques contre des affaires publiques

L'affaire Kaseya concernait l'utilisation abusive d'une plate-forme de gestion utilisée par MSP picturalistes, qui est différente d'une attaque de phishing lâche : l'acteur utilise la chaîne de gestion pour distribuer lui-même les charges utiles.

Le ministère de la Défense nationale a utilisé la double extorsion. Les données et la disponibilité étaient deux agents d'impression, donc non seulement pour rechercher le chiffrement, mais aussi pour mettre en place, compression, infiltration et allégations de site de fuite.

Dans le cas d'incidents de type chaîne d'approvisionnement, la portée devrait être déterminée différemment. Demandez non seulement quel point d'arrêt a été touché, mais quels clients, locataires, agents, scripts, canaux de mise à jour et identifiants étaient accessibles via la plateforme de gestion.

IOC et artefacts connus

Les objets Sodinokibi/Revil peuvent inclure les charges utiles ransomware, les notes de rançon, les extensions modifiées et les réclamations de fuite sur le site. Dans le contexte Kaseya VSA- les objets de serveur et d'agent sont particulièrement pertinents.

CISA /FBI publié Kaseya-related guidance etIOC Utilisez ces derniers historiquement pour la chasse rétro à des environnements VSA- et des clients MSP-.

RMM et les activités de distribution de logiciels en dehors des opérateurs de canaux normaux sont des indicateurs comportementaux importants, surtout lorsque de nombreux terminaux reçoivent simultanément des affectations.

Logique de détection pratique

Surveiller les plateformes de gestion sur le déploiement en masse, les scripts inconnus, les nouveaux paquets, la configuration modifiée des agents et les sorties des serveurs de gestion en dehors des canaux.

Lien MSP-actions vers des environnements clients. Un incident semblable à un mal peut affecter plusieurs clients; l'enregistrement doit garder les limites du locataire et du client visibles.

Recherchez l'adaptabilité des données avant le chiffrement. Double extorsion signifie que la récupération du système ne suffit pas lorsque les données ont déjà été sorties de l'environnement.

Priorités concrètes de durcissement

Centraliser l'identité et l'accès à distance. La plupart des chaînes de ransomware historiques n'ont pas commencé avec une charge utile magique, mais avec un accès valide, phishing, services externes vulnérables ou références réutilisées. MFA, reliure d'appareil, hygiène de compte et l'enregistrement sont la première couche de défense.

Protégez les données avant de commencer le chiffrement. Surveillez l'accès massif aux fichiers, la compression, la mise en scène, le transfert de cloud, le comportement semblable à Rclone et les volumes sortants inhabituels.

Les groupes historiques ont parfois disparu, mais leur leçon reste: la réparabilité échoue lorsque la même identité compromise peut gérer la production et la récupération.

Traiter les plates-formes RMM et MSP comme des systèmes de niveau 0. Utilisez des comptes distincts, MFA, restrictions réseau, contrôle de changement et l'enregistrement qui ne peuvent pas être effacés par la même plate-forme.

Mettre en place une procédure d'urgence pour arrêter les agents de gestion ou mettre à jour les canaux lorsque l'on soupçonne un abus.

Identité, noms et attribution

Une évaluation fiable de REvil / Sodinokibi commence par une identification précise. Le dossier local mentionne les noms ou alias suivants : REvil, Sodinokibi, Sodin. Un alias facilite la recherche, mais ne prouve pas l’existence d’opérateurs communs. Des noms proches, des logos réutilisés et des textes d’extorsion similaires ne suffisent pas. Conservez l’orthographe originale et distinguez l’auteur de la publication, la famille de logiciel malveillant et l’opérateur présumé de l’intrusion. Ces rôles peuvent appartenir à des personnes différentes. Un incident ne doit pas être attribué sur la seule ressemblance d’un nom de fichier. Toute relation supposée nécessite une source propre, traçable et datée.

Indicateurs de compromission (IOC)

Les indicateurs sont des observations historiques, pas la preuve d’une infection actuelle. Vérifiez la source, l’ancienneté et le contexte avant toute détection ou tout blocage ; les outils d’administration légitimes peuvent générer des faux positifs.

Sources

• CISA/FBI Guidance for MSPs and Customers Affected by Kaseya VSA Supply-Chain Ransomware Attack
• MITRE ATT&CK — Valid Accounts (defensive context)
• MITRE ATT&CK — External Remote Services (defensive context)
• MITRE ATT&CK — Exfiltration Over Web Service (defensive context)
• MITRE ATT&CK — Inhibit System Recovery (defensive context)
• Ransomware.live — REvil / Sodinokibi

Éléments probants et limites

L’attribution reflète l’évaluation de la source, pas une identité vérifiée. Une inscription sur un site de fuite ne prouve à elle seule ni chiffrement, ni vol de données, ni vulnérabilité précise, ni relation d’affiliation. Les informations manquantes restent explicitement signalées.