Новые семплы REvil подтвердили возврат грозного шифровальщика

Новые семплы REvil подтвердили возврат грозного шифровальщика

Новые семплы REvil подтвердили возврат грозного шифровальщика

Анализ образцов REvil/Sodinokibi, обнаруженных в марте и апреле, показал их функциональное сходство с семплом полугодовой давности. Эксперты Secureworks также обнаружили модификации кода, которые позволяют говорить о новом цикле разработки и возобновлении операций, связанных с этим шифровальщиком.

По словам исследователей, изменения привносились в код постепенно и пока оформлены как версия 1.0.0 (найденный в октябре схожий образец был помечен как версия 2.08). Аналитики убеждены, что создатель новых семплов имел доступ к исходникам REvil — это также подтверждают данные BleepingComputer.

Ответственность за реанимацию увядшего RaaS-сервиса (Ransomware-as-a-Service, шифровальщик как услуга) эксперты возлагают на бывшего аффилиата —кибергруппу, которую в Secureworks отслеживают под именем Gold Southfield. Напомним, в ИБ-сообществе заговорили о возможном возврате REvil после обнаружения в сети Tor новых сайтов зловреда — для публикации данных, украденных у жертв (свыше 250 организаций с 2019 года), и для контроля платежей.

В конце прошлого месяца Avast сообщила о выявлении нового семпла REvil. Обновленный зловред оказался не в состоянии шифровать файлы, он только добавлял к ним случайное расширение — как оказалось, из-за бага. Проведенное в Secureworks исследование показало, что вирусописатель нашел ошибку и должным образом исправил.

Аналитики также отметили ряд нововведений, в том числе следующие:

  • скорректирована логика расшифровки строк кода (введен новый аргумент командной строки);
  • изменен способ хранения конфигурационной структуры и 32-байтового ключа дешифрации в секции данных;
  • заменены вшитые в код публичные ключи (один из них используется для защиты ключа, создаваемого зловредом для шифрования файлов, другой — для защиты сессионных данных, таких как ID аффилиата, имя жертвы, информация о дисках и т. п.);
  • изменен формат отслеживания аффилиатов (теперь с этой целью используется GUID);
  • отключены проверки региональных настроек системы, то есть REvil стал космополитом;
  • узаконены новые onion-домены — они теперь присутствуют в тексте записки с требованием выкупа, которую шифровальщик оставляет в системе.

Примечательно, что владельцы возрожденного RaaS-сервиса предпочитают именовать его Sodinokibi — видимо, чтобы избавиться от ассоциаций с громкими атаками REvil, из-за которых прежние операции пришлось свернуть.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ГК Солар увеличил выручку до 12,8 млрд рублей за девять месяцев 2025 года

Группа компаний «Солар» опубликовала финансовые итоги за девять месяцев 2025 года. По данным управленческого учёта, выручка компании выросла на 16% по сравнению с аналогичным периодом прошлого года и достигла 12,8 млрд рублей. Главный рост обеспечило продуктовое направление: продажи решений в сфере ИБ увеличились на 46%, до 2,9 млрд рублей.

Доля продуктов в общей выручке выросла с 18% до 22%. Наиболее заметный вклад внесли системы Solar Dozor (DLP) и Solar appScreener (SAST), которые укрепляют позиции в инфраструктуре заказчиков.

Выручка от сервисов кибербезопасности составила 10 млрд рублей, что на 10% выше уровня прошлого года. При этом показатель OIBDA снизился на 29%, до 1,1 млрд рублей, а рентабельность упала с 14,5% до 8,9%. В компании объясняют это сезонностью рынка и ростом расходов на персонал.

По словам генерального директора Игоря Ляпунова, «Солар» сохраняет устойчивые темпы роста даже на фоне сложной экономической ситуации и роста киберугроз. Он отметил, что в третьем квартале специалисты зафиксировали крупнейшую DDoS-атаку мощностью 2,2 Тбит/с, что в восемь раз превысило прежний рекорд.

В отчётном периоде «Солар» продолжил развитие ключевых направлений. Компания приобрела 90% в разработчике Hexway, занимающемся решениями для безопасной разработки софта, и заключила ряд партнёрств, включая Почту России, Positive Technologies, «Лабораторию Касперского» и PROF-IT GROUP.

Среди технологических новинок — обновлённые версии Solar Dozor, Solar NGFW, Solar inRights и CyberMir, запуск решений Solar DNS Radar для анализа DNS-трафика и Retainer для подписки на реагирование на инциденты.

Также компания развивает продукты и сервисы для малого и среднего бизнеса — например, предоставила им доступ к коммерческому центру противодействия кибератакам Solar JSOC и запустила бесплатную защиту от DDoS-атак для небольших сайтов и самозанятых.

В сфере образования «Солар» расширил программу обучения специалистов SOC и выпустил исследование о состоянии рынка ИБ-образования в России. По оценке компании, объём потребления ИБ-сервисов в сегменте МСП может вырасти с 15 млрд рублей в год до 35–37 млрд рублей к 2030 году.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru