REvil / Sodinokibi

Managementsamenvatting

REvil, ook bekend als Sodinokibi, was een van de bekendste ransomware-as-a-service-operaties. De groep werd gekoppeld aan dubbele afpersing, hoge losgeldeisen en aanvallen waarbij managed service providers of beheerplatformen als hefboom konden dienen. Voor bezoekers is vooral de Kaseya VSA-case belangrijk: wanneer beheerplatformen worden misbruikt, kan één toegangspad veel organisaties tegelijk raken.

REvil is historisch, maar de verdedigingswaarde is groot. Het profiel laat zien waarom RMM, MSP-toegang, softwaredistributie en privileged beheer aparte securitylagen nodig hebben. Een organisatie kan technisch goed zijn op endpoints maar alsnog kwetsbaar zijn via het platform waarmee die endpoints worden beheerd.

De belangrijkste les is dat supply-chain-ransomware niet alleen een leveranciersprobleem is. Klanten moeten weten welke beheertools in hun omgeving actief zijn, welke rechten ze hebben, hoe updates worden gevalideerd en hoe snel misbruik kan worden gestopt.

Groepering en ontwikkeling

REvil groeide uit tot een dominante RaaS-operatie met affiliates en een publieke leak-site. Sodinokibi werd vaak als technische naam gebruikt voor de ransomwarevariant. De groep kreeg extra bekendheid door grote slachtoffers en de Kaseya VSA-campagne in juli 2021.

CISA en FBI publiceerden guidance rond de Kaseya VSA supply-chain ransomware attack. Die guidance benadrukte onder meer het uitschakelen of beveiligen van VSA-servers, indicatoren, herstelstappen en monitoring.

Hoewel REvil als merk werd verstoord, blijft het ecosysteemvoorbeeld actueel: beheerplatformen blijven aantrekkelijk voor aanvallers omdat ze vertrouwde distributie, rechten en netwerkbereik bieden.

Aanvalspatroon uit publieke cases

De Kaseya-case draaide om misbruik van een beheerplatform dat door MSP’s wordt gebruikt. Dit verschilt van een losse phishingaanval: de actor gebruikt de beheerketen zelf om payloads te verspreiden. Voor verdediging betekent dit dat managementservers als kroonjuwelen moeten worden behandeld.

REvil gebruikte dubbele afpersing. Data en beschikbaarheid waren beide drukmiddelen. Zoek daarom niet alleen naar encryptie, maar ook naar staging, compressie, exfiltratie en leak-siteclaims.

Bij supply-chain-achtige incidenten moet de scope anders worden bepaald. Vraag niet alleen welke endpoint geraakt is, maar welke klanten, tenants, agents, scripts, updatekanalen en credentials via het beheerplatform bereikbaar waren.

Bekende IOC's en artefacten

Sodinokibi/REvil-artefacten kunnen ransomwarepayloads, ransom notes, gewijzigde extensies en leak-siteclaims omvatten. In de Kaseya-context zijn vooral VSA-server- en agentartefacten relevant.

CISA/FBI publiceerden Kaseya-gerelateerde guidance en IOC’s. Gebruik die historisch voor retro-hunting bij VSA-omgevingen en MSP-klanten.

RMM- en softwaredistributieactiviteiten buiten normale changevensters zijn belangrijke gedragsindicatoren, zeker wanneer veel endpoints tegelijk opdrachten ontvangen.

Praktische detectielogica

Monitor beheerplatformen op massadeployment, onbekende scripts, nieuwe packages, gewijzigde agentconfiguratie en uitvoer vanaf managementservers buiten changevensters.

Koppel MSP-acties aan klantomgevingen. Een REvil-achtig incident kan meerdere klanten raken; logging moet tenant- en klantgrenzen zichtbaar houden.

Zoek naar datastaging vóór encryptie. Dubbele afpersing betekent dat herstel van systemen niet genoeg is wanneer data al buiten de omgeving is gebracht.

Concrete hardeningprioriteiten

Zet identity en remote access centraal. De meeste historische ransomwareketens begonnen niet met een magische payload, maar met geldige toegang, phishing, kwetsbare externe diensten of hergebruikte credentials. MFA, devicebinding, account hygiene en logging zijn de eerste verdedigingslaag.

Bescherm data voordat encryptie begint. Monitor massale file access, compressie, staging, cloudtransfer, Rclone-achtig gedrag en ongebruikelijke outbound volumes. Dubbele afpersing maakt datadiefstal net zo belangrijk als versleuteling.

Scheid back-up-, hypervisor- en beheeraccounts van gewone domeinroutes. Historische groepen verdwenen soms, maar hun les blijft: herstelbaarheid faalt wanneer dezelfde gecompromitteerde identiteit productie én herstel kan beheren.

Behandel RMM- en MSP-platformen als tier-0-systemen. Gebruik aparte accounts, MFA, netwerkrestricties, changecontrole en logging die niet door hetzelfde platform kan worden gewist.

Maak een noodprocedure om beheeragents of updatekanalen veilig te pauzeren wanneer misbruik wordt vermoed.

Identiteit, naamgeving en attributie

Voor REvil / Sodinokibi begint een betrouwbare beoordeling bij een exacte identificatie. Het lokale dossier vermeldt de volgende namen of aliassen: REvil, Sodinokibi, Sodin. Een alias helpt bij zoeken, maar bewijst niet dat dezelfde personen achter verschillende operaties zitten. Gelijkende namen, hergebruikte logo’s en vergelijkbare afpersingsteksten zijn daarvoor onvoldoende. Bewaar bij onderzoek de oorspronkelijke groepsnaam en onderscheid de publicerende partij, de malwarefamilie en de vermoedelijke uitvoerder van de inbraak. Dat kunnen verschillende partijen zijn. Zo wordt een incident niet aan de verkeerde groep gekoppeld omdat alleen een bestandsnaam overeenkomt. Een veronderstelde relatie vereist een eigen, herleidbare bron en een datum waarop die relatie is vastgesteld.

Tijdlijn en betekenis van datums

De beschikbare registratiedatum voor REvil / Sodinokibi is 2019-08-26. De momentopname van de bronmetadata dateert van 2026-09-15. Deze datums beschrijven de registratie, niet het bewezen begin van criminele activiteiten. Een groep kan vóór registratie actief zijn geweest en een publicatie kan een ouder incident betreffen. Houd daarom de vermoedelijke inbraakdatum, gegevenstoegang, ontdekking door het slachtoffer, publicatie door de afperser en waarneming door de monitoringdienst apart. Ook de beoordelingsdatum van dit profiel heeft een andere betekenis. Zet deze tijdstippen niet stilzwijgend in elkaar om. Bij tegenstrijdige bronnen blijven beide waarnemingen met hun herkomst zichtbaar totdat aanvullend bewijs een nauwkeuriger tijdlijn rechtvaardigt.

Slachtofferclaims en doelwitpatronen

Het slachtofferblok bij REvil / Sodinokibi toont maximaal vijf verschillende organisaties uit de opgeslagen claimgeschiedenis. Dat is een actuele uitsnede, geen volledige telling van alle incidenten. Publieke lijsten kunnen slachtoffers missen, oude informatie herhalen of toegang overdrijven. Een reeks organisaties uit hetzelfde land of dezelfde sector bewijst daarom niet direct een gerichte campagne. Vergelijk vooral de afhankelijkheden met de eigen organisatie: gedeelde leveranciers, externe toegang, publiek bereikbare diensten en gevoelige gegevensstromen. Een claim over een leverancier is aanleiding om via bekende contactpersonen informatie te verifiëren. De vermelding bewijst niet dat ook klanten zijn getroffen. Houd bevestigde verklaringen en beweringen van de afperser afzonderlijk herkenbaar.

Compromitteringsindicatoren (IOC’s)

Indicatoren zijn historische waarnemingen, geen bewijs van een huidige infectie. Controleer bron, ouderdom en context vóór detectie of blokkering; legitieme beheertools kunnen foutpositieven veroorzaken.

Bronnen

• CISA/FBI Guidance for MSPs and Customers Affected by Kaseya VSA Supply-Chain Ransomware Attack
• MITRE ATT&CK — Valid Accounts (defensive context)
• MITRE ATT&CK — External Remote Services (defensive context)
• MITRE ATT&CK — Exfiltration Over Web Service (defensive context)
• MITRE ATT&CK — Inhibit System Recovery (defensive context)
• Ransomware.live — REvil / Sodinokibi

Onderbouwing en beperkingen

Attributie beschrijft de beoordeling van de bron, niet een geverifieerde identiteit. Een vermelding op een leksite bewijst op zichzelf geen versleuteling, datadiefstal, specifieke kwetsbaarheid of affiliaterelatie. Ontbrekende informatie blijft expliciet benoemd.