TeamT5's ThreatVision APT identification engine is now integrating with PolySwarm malware analysis platform to help power the growing crowdsourced malware analysis marketplace.

PolySwarm is a crowdsourced malware analysis platform specialized in new and emergent threats. It is powered by a network of research-driven engines, like TeamT5, which are highly specialized and focused on detecting the latest malware. Unlike in other multiscanners, engines in PolySwarm are incentivized to respond just when confident, and are compensated based on performance, improving signal-to-noise ratio and reducing false positives. Multiscanning, threat scoring and hunting in a single platform give analysts a novel tool to detect, analyze and respond to threats.

TeamT5's alliance with PolySwarm will be beneficial to our specialized research in APT intelligence in Asia-Pacific. And we as a team will definitely bring the experience of our clients to the next level.

With TeamT5's solid technical background and frontline expertise, we provides more in-depth information about the malware, such as threat level, adversary and linkage discovery information, to help our clients dealing with the APT attacks they are facing from all over the world.

TeamT5's ThreatVision Cyber Threat Intelligence Platform Joins PolySwarm Malware Analysis Marketplace

TeamT5のThreatVision APT識別エンジンはPolySwarmのマルウェア分析プラットフォームへ統合され、発展中のクラウドソーシングされたマルウェア分析マーケットプレイスに参加しました。

PolySwarmは、新興の脅威を専門に扱う、クラウドソーシング型のマルウェア分析プラットフォームです。TeamT5のように、高度に専門化され最新のマルウェア検出に焦点を当てる、調査主導型エンジンのネットワークで構成されています。他のマルチスキャナーとは異なり、PolySwarmのエンジンは確信を得た場合にのみ対応するようインセンティブが与えられています。成果に応じて報酬が与えられるため、重要な情報を抽出しやすくして誤検出を減らせます。マルチスキャン、脅威のスコア付け、単一プラットフォームでの摘発を通じて、アナリストが脅威を検出、分析、対応できる斬新なツールとなっています。

TeamT5のPolySwarmとの提携は、アジア太平洋地域でのAPTインテリジェンスに関する専門調査に役立ちます。また、この提携を通じて、顧客へさらに高水準のサービスを提供できます。

TeamT5が持つ堅固な専門技術と最前線での専門知識をもって、当社は脅威レベル、敵対者と関連性の摘発に関してより詳細な情報を提供し、顧客が世界中で猛威を振るうAPT攻撃に対抗できるよう支援します。


TeamT5のThreatVisionサイバーインテリジェンスプラットフームがPolySwarmのマルウェア分析マーケットプレイスに参加

In March 2021, another REvil's attack was announced. Targeting the computer giant Acer, the actors behind the ransomware asked for 50 million dollars, the highest ransom they have demanded so far. Acer was not the only victim of the notorious ransomware. Debuted in April 2019, REvil has attacked hundreds of high-profile agencies in multiple sectors. In 2020, REvil has earned more than 100 million.[1] In this report, we will introduce the basic profile of REvil and share the techniques they used in operations. 


## What is REvil 

REvil, a.k.a Sodinokibi, is a Ransomware as a Service (RaaS) operation deployed by a Russian cybercrime group named GOLD SOUTHFIELD or Pinchy Spider. The group is believed to be based in Russia, as it does not attack organizations in Post-Soviet States, and refuse to cooperate with English speaking cyber criminals.[2] 

REvil was highly possible the successor of GandCrab, another notorious ransomware, because of code similarities and REvil's active operations right after GandCrab's retirement.[3]

![REvil_1.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1621845336/R_Evil_1_035a848033.png)
_Figure 1: The timeline of REvil's appearance and GandCrab's retirement_

 

![REvil_2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1621845337/R_Evil_2_804b2676dc.png)
_Figure 2: REvil and GandCrab's similarity on string decoding_

 

![REvil_3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1621845337/R_Evil_3_e9724a2992.png)
_Figure 3: REvil and GandCrab's similarity on building ransom wallpaper_

 

Numerous campaigns attacking multiple sectors were observed all over the world. The REvil actors has attacked local governments, giant law firms, multinational retailers, etc. The highest ransom they have asked was 42 million for the law firm but was now surpassed by the 50 million Acer attack. (References for the events, please see the end of this page.[4])

 

![REvil__4.jpeg](https://res.cloudinary.com/dvgomg5gh/image/upload/v1621845337/R_Evil_4_56bc894487.jpg)
_Figure 4: The timeline of REvil's notorious attacks_

 

## The Ransomware as a Service model (RaaS)

The actors of REvil adopt the Ransomware as a Service business model. In this model, Ransomware developers are responsible for development and maintenance of the ransomware, while the groups of cyber criminals, named affiliates in this model, are responsible for accessing victims' system to distribute the ransomware. The business model allows cyber criminals who are not capable of developing their own ransomware to buy the service on dark web and deploy ransomware attack. 
 
Through this model, REvil actors provide REvil or the customized version of REvil to their affiliates. After they successfully breached victims' systems, REvil actors will ask for ransom by themselves, providing the ransom payment link. After the collection of money, their affiliates will receive 60% to 75% of the profit. Moreover, the actors also provide other paid services, such as money laundering assistance for the affiliates. 

![May_blog_3.jpeg](https://res.cloudinary.com/dvgomg5gh/image/upload/v1620634812/May_blog_3_71c24e74f2.jpg)

 

## Tactic, Techniques and Procedures
### Initial Access
For REvil, different affiliates may use different methods for initial access. The ransomware is now distributed primarily through compromised RDP sessions (65%), phishing (16%), and software vulnerabilities (8%).[5] However, a supply chain attack distributing REvil was also observed.

REvils' actors said in an interview that they used brute force attacks to compromise RDP sessions.[1] As for phishing emails, the cyber criminals have once disguised their email as a new booking from "booking.com". They also exploit vulnerabilities. In fact, REvil's debut was exploiting the Oracle Weblogic vulnerability, CVE-2019-2725. Moreover, the actors are able to deploy new vulnerabilities after its disclosure. For example, the group used the recent disclosed Microsoft Exchange server vulnerability to access Acer's system.

The most astounding technique they deployed is supply chain attack. Around June 2019, a WINRAR distributor site in Italy was hacked.[6][7] The software downloaded from the site at that time was not the WINRAR installer but the REvil installer. Although no public announcements showing that any company was infected in this attack, the successful replacement shows that their affiliates were able to deploy a supply chain attack. 

Apart from their various method on initial access, the cyber criminals also adopted several unique techniques. For example, REvil used Elliptic-curve Diffie-Hellman key exchange to encrypt files, while other ransomware often used RSA, Salsa20 or AES to do so. This method is more efficient as it used shorter key and is difficult to decrypt. 

 

## The Effective Methods for Ransom Collection
Nowadays, as ransomware attacks become a serious problem, most companies have learned to back up crucial data in case they are hit by a ransomware. However, ransomware actors develop several new methods to ensure that the victims will pay the ransom, including Double-extortion, VoIP calling, and DDoS attack.

- "Double-extortion"
 
The actors disclose or sell the data of the company if the company is not willing to pay ransom. This method was first introduced by Maze, another notorious ransomware, and currently almost all ransomware actors have adopted this method, and so as REvil. Starting from January 2020, the group runs their own site "Happy Blog", where they post data extorted from their victims.

- Voice over Internet Protocol (VoIP) calling
 
In February 2021, they announced that they are now offering Voice over Internet Protocol (VoIP) calling and DDoS attack service for their affiliates to make pressure on their victims.[8] They stated that they will call the media or their victims' business partners, telling them about the attack. 

 

## Detect and Defense
For prevention, it is always crucial to be aware of spamming emails. Nowadays, spamming emails is still the most popular and effective method to access victims' computers. 

In addition, keep an eye on new exploits and updates is also important. Ransomware groups usually are not capable of discovering 0-day exploits by themselves, but they will exploit the disclosed vulnerabilities and attack those who have not updated their system. Thus, keep computers updated and patched systems immediately after the disclosure is essential for preventing ransomware attack.

Furthermore, as the REvil business grows, the actors behind has posted on dark web to recruit more affiliates for their operations. Thus, more attacks from the group is expected. TeamT5 will keep following the ransomware and provide up-to-date information of the notorious ransomware.

To efficiently prevent ransomware attacks, TeamT5 offers a total solution for enterprise protection. Our unique ransomware containment technology is proven to successfully block many types of ransomware, which can detect and stop malicious ransomware immediately. And even restore encrypted files from the backup.

For more information about TeamT5 Ransomware Prevention total solution, please contact: <sales@teamt5.org>

 

## References

[1] https://therecord.media/i-scrounged-through-the-trash-heaps-now-im-a-millionaire-an-interview-with-revils-unknown/

[2] https://www.advintel.io/post/inside-revil-extortionist-machine-predictive-insights

[3] https://www.zdnet.com/article/gandcrab-ransomware-operation-says-its-shutting-down/

[4] Texas Municipalities - https://www.zdnet.com/article/at-least-20-texas-local-governments-hit-in-coordinated-ransomware-attack/; Backup Company - https://www.zdnet.com/article/ransomware-hits-hundreds-of-dentist-offices-in-the-us/; Foreign Exchange Company - https://www.bbc.com/news/business-51017852; US Law Firm - https://www.zdnet.com/article/ransomware-gang-asks-42m-from-ny-law-firm-threatens-to-leak-dirt-on-trump/; Pan-Asia Retailer - https://www.bleepingcomputer.com/news/security/pan-asian-retail-giant-dairy-farm-suffers-revil-ransomware-attack/

[5] https://www.csoonline.com/article/3597298/revil-ransomware-explained-a-widespread-extortion-operation.html

[6] https://www.drcommodore.it/2019/06/20/hackerato-winrar-it-malware-al-posto-del-programma/

[7] https://www.bleepingcomputer.com/news/security/sodinokibi-ransomware-spreads-wide-via-hacked-msps-sites-and-spam/

[8] https://www.bleepingcomputer.com/news/security/ransomware-gang-plans-to-call-victims-business-partners-about-attacks/


*Image courtesy of [Pixabay](https://pixabay.com/)

Introducing The Most Profitable Ransomware REvil

2021年3月、再びREvilによる攻撃が発表されました。コンピューター大手Acerを標的にしたこのランサムウェア攻撃では、これまでに要求された身代金の中でも最も高額となる5000万ドルが要求されました。この悪名高いランサムウェアの被害者は、Acerだけには留まりません。2019年4月に初めて登場したREvilは、複数の分野にまたがって数百社にのぼる著名な機関を攻撃しています。2020年には、REvilは1億ドル以上を稼ぎ出しています。[1] 本レポートでは、REvilの基本的な特徴とともに、使用されているテクニックについてもご紹介します。

## REvilとは 

REvilの別名は「Sodinokibi」であり、ロシアのサイバー犯罪グループであるGOLD SOUTHFIELDあるいはPinchy Spiderによって展開されたRansomware as a Service（RaaS）オペレーションです。ポストソビエト諸国にある組織は攻撃しておらず、英語圏のサイバー犯罪者への協力を拒否していることから、このグループはロシアを拠点としていると考えられています[2]。 

REvilは、同じく悪名高いランサムウェアであるGandCrabの後継である可能性が高いと思われます。コードに類似点があり、GandCrabが引退した直後にREvil攻撃が活発化したからです[3]。


![introducing-the-most-profitable-ransomware-revil_JP_figure1.png](https://uploads.teamt5.org/upload/original/introducing-the-most-profitable-ransomware-revil_JP_figure1.png)
_図1：REvilの登場とGandCrabの引退の時系列_

 

![REvil_2.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1621845337/R_Evil_2_804b2676dc.png)
_図2：REvilとGandCrabの文字列解読に見られる類似性_

 

![REvil_3.png](https://res.cloudinary.com/dvgomg5gh/image/upload/v1621845337/R_Evil_3_e9724a2992.png)
_図3：REvilとGandCrabの身代金用の壁紙の構築に見られる類似点__

 

複数の事業分野に対する攻撃キャンペーンが世界中で数多く観測されました。REvilの脅威アクターは、地方自治体、大手法律事務所、多国籍小売業者などを標的として攻撃しています。要求された身代金の最高額は法律事務所に対する4200万ドルでしたが、今回のAcerに対する攻撃では、それを上回る5000万ドルという金額が要求されています。（この事象に関する参考文献については、本ページの末尾を参照。[4]）

 

![introducing-the-most-profitable-ransomware-revil_JP_figure4.png](https://uploads.teamt5.org/upload/original/introducing-the-most-profitable-ransomware-revil_JP_figure4.png)
_図4：REvilの悪名高い攻撃の時系列_

 

## サービスとしてのランサムウェアモデル（RaaS：Ransomware as a Service model）

REvilを使った脅威アクターは、「サービスとしてのランサムウェア」のビジネスモデルを採用しています。このモデルでは、ランサムウェア開発者はランサムウェアの開発と保守を担当し、このモデルではアフィリエイトと呼ばれるサイバー犯罪者集団が被害者のシステムにアクセスしてランサムウェアを配布する役割を担っています。このビジネスモデルでは、自分自身でランサムウェアを開発できないサイバー犯罪者が、ダークウェブでサービスを購入し、ランサムウェア攻撃を展開することができます。
 
このモデルを通じて、REvilの脅威アクターはREvilあるいはREvilのカスタマイズされたバージョンをアフィリエイトに提供します。被害者のシステムに首尾よく侵入した後、REvilの脅威アクターは身代金の支払いリンクを提供し、自らで身代金の支払いを要求します。集金後、アフィリエイトには利益の60%～75%が支払われます。それだけでなく、こういった脅威アクターは、アフィリエイトに対してマネーロンダリングを支援するなどの有料サービスも行っています。

![introducing-the-most-profitable-ransomware-revil_JP_figure5.png](https://uploads.teamt5.org/upload/original/introducing-the-most-profitable-ransomware-revil_JP_figure5.png)

 

## 戦術とテクニック、そしてその手順
### 初期アクセス
REvilの場合、アフィリエイトによって初期アクセスの方法が異なる可能性があります。現在、このランサムウェアは、主に侵害されたRDPセッション（65%）、フィッシング攻撃（16%）、およびソフトウェアの脆弱性（8%）によって配布されています。[5] しかしながら、Revilを配布するサプライチェーン攻撃も確認されています。

REvilsの脅威アクターは、RDPセッションを侵害するにあたりブルートフォース攻撃を仕掛けたとインタビューで語っています。[1] フィッシングメールに関しては、サイバー犯罪者が一度、メールを「booking.com」からの新しい予約案内に見せかけていたことがわかっています。脆弱性を突くこともあります。実際、REvilの初めての攻撃は、Oracle Weblogicの脆弱性である「CVE-2019-2725」を突いたものでした。それだけでなく、脅威アクターは、公開後に新たな脆弱性を展開することもできます。例えば、犯罪グループは、最近公開されたMicrosoft Exchangeサーバーの脆弱性を利用して、Acerのシステムにアクセスしています。

展開された中でも、最も驚くべき手法であったのがサプライチェーン攻撃です。2019年6月頃、イタリアのWINRAR販売サイトがハッキングされました。[6][7] このときサイトからダウンロードされたソフトウェアは、WINRARインストーラーではなく、REvilインストーラーでした。この攻撃によって企業が感染したことを示す公表はありませんでしたが、ファイルの交換に成功していたという事実から、アフィリエイトがサプライチェーン攻撃の展開に成功したことを示しています。

初期アクセス時の様々な手口だけではなく、サイバー犯罪者は様々な独自のテクニックも採用しています。例えば、REvilでは楕円曲線ディフィー・ヘルマン鍵共有を使用してファイルを暗号化していましたが、他のランサムウェアでは、RSA、Salsa20またはAESを使用して暗号化されていることがよくあります。この方法は、鍵が短くなり解読が困難になることから、より効率的な方法と言えます。

 

## 身代金を回収するための効果的な方法
昨今では、ランサムウェア攻撃が深刻な問題となっているため、ほとんどの企業がランサムウェアの被害に遭った場合に備えて重要なデータをバックアップすることを学んでいます。しかしながら、ランサムウェアの脅威アクターは、被害者に確実に身代金を支払わせるため、二重の脅迫、VoIPコール、DDoS攻撃などの複数の新たなメソッドを開発しています。

- 「二重の脅迫」
 
企業が身代金の支払いに応じない場合、脅威アクターは企業のデータを開示するか売却します。このメソッドは、もう一つの悪名高いランサムウェアであるMazeが最初に導入したやり方で、現在ではほとんどすべてのランサムウェアの脅威アクターがこの方法を採用しており、REvilもその一つです。2020年1月以降、このグループは被害者から奪ったデータを掲載するための自社サイト「Happy Blog」を運営しています。

- VoIP（Voice over Internet Protocol）コール
 
2021年2月には、被害者に圧力をかけるため、アフィリエイト向けにVoIP（Voice over Internet Protocol）コールとDDoS攻撃サービスをしかけると発表しました。[8] 彼らはメディアや被害者の取引先に電話をかけて、攻撃について伝えると述べています。

 

## 検出と防御
防止するためには、スパムメールに常に注意することが不可欠です。現在も、スパムメールが被害者のコンピューターにアクセスする最も一般的かつ効果的な方法となっています。

さらに、新たな悪用やアップデートに目を向けることも重要です。ランサムウェア攻撃グループは通常、自分たちでゼロデイ攻撃を発見する能力はありませんが、公開された脆弱性を悪用し、システムをアップデートしていない人に向けて攻撃をしかけます。従って、ランサムウェア攻撃を防止するためには、公開後はすぐにコンピューターを更新し、システムにパッチを当てることが不可欠です。

さらに、REvilの攻撃ビジネスが成長する中で、背後にいる脅威アクターはダークウェブに掲載し、操れるより多くのアフィリエイトを募集しています。ですから、このグループからの攻撃はさらに増えることが予想されます。TeamT5では、引き続きこのランサムウェアの追跡調査を続け、今後もこの悪名高いランサムウェアの最新情報を提供していきます。

ランサムウェア攻撃を効率的に防ぐために、TeamT5では企業向けのトータル保護ソリューションを提供しています。当社独自のランサムウェア封じ込め技術は、多くの種類のランサムウェアのブロックに成功した実績があり、悪質なランサムウェアを即座に検知して停止させることができます。さらに、バックアップから暗号化されたファイルを復元することも可能です。

TeamT5のランサムウェア防止トータルソリューションの詳細については、こちらからお問い合わせください：<sales@teamt5.org>

 

## 参考文献

[1] https://therecord.media/i-scrounged-through-the-trash-heaps-now-im-a-millionaire-an-interview-with-revils-unknown/

[2] https://www.advintel.io/post/inside-revil-extortionist-machine-predictive-insights

[3] https://www.zdnet.com/article/gandcrab-ransomware-operation-says-its-shutting-down/

[4] Texas Municipalities - https://www.zdnet.com/article/at-least-20-texas-local-governments-hit-in-coordinated-ransomware-attack/; Backup Company - https://www.zdnet.com/article/ransomware-hits-hundreds-of-dentist-offices-in-the-us/; Foreign Exchange Company - https://www.bbc.com/news/business-51017852; US Law Firm - https://www.zdnet.com/article/ransomware-gang-asks-42m-from-ny-law-firm-threatens-to-leak-dirt-on-trump/; Pan-Asia Retailer - https://www.bleepingcomputer.com/news/security/pan-asian-retail-giant-dairy-farm-suffers-revil-ransomware-attack/

[5] https://www.csoonline.com/article/3597298/revil-ransomware-explained-a-widespread-extortion-operation.html

[6] https://www.drcommodore.it/2019/06/20/hackerato-winrar-it-malware-al-posto-del-programma/

[7] https://www.bleepingcomputer.com/news/security/sodinokibi-ransomware-spreads-wide-via-hacked-msps-sites-and-spam/

[8] https://www.bleepingcomputer.com/news/security/ransomware-gang-plans-to-call-victims-business-partners-about-attacks/


*画像のソース: [Pixabay](https://pixabay.com/)

最も収益性の高いランサムウェア「REvil」

Threat Intelligence

全球知名的資安威脅情資平台業者 Anomali，與我國最具潛力的資安新創業者 TeamT5 杜浦數位安全於日前結盟。TeamT5 在亞太區 APT 攻擊領域的洞察研析能力深受各方肯定，未來 Anomali 威脅情資平台上將收錄 TeamT5 的情資，使全球的 Anomali 用戶能掌握更全面且獨到的威脅資訊。

此次的合作對資安界及雙方的用戶而言都深具意義。Anomali 台灣總代理衡崴科技（Apertex）總經理林大森表示，Anomali 身為情資平台的領導者一直致力於收錄更廣泛、更多元的資安威脅情資，台灣則因地緣政治因素經常能率先掌握大陸及北韓的各種新資安攻擊樣態，而 Anomali 引進 TeamT5 的專業情資，將有助於全球的 Anomali 用戶對亞太區的 APT 攻擊及早因應、提前佈署。

TeamT5 成為 Anomali 在亞太區 APT 情資合作的首要夥伴具有雙重意涵，TeamT5 執行長蔡松廷進一步說明，Anomali 與 TeamT5 的合作讓用戶擁有更高的威脅能見度，同時 TeamT5 品牌也因此在全球資安情資需求者、需求市場中提高了知名度。

展望後續，美、中正進入全層面、全維度的競賽，除軍事、貿易、科技外亦在資通訊活動上較量，即資訊冷戰，無人能置身事外。此次 Anomali 與 TeamT5 的結盟也意味著美、台聯防互補的成形，期合作的綜效能為廣大企業在積極完備資安上更盡心力。

TeamT5 聯手 Anomali  台美資安合縱聯防

先日、世界的に有名な情報セキュリティ・脅威インテリジェンスのプラットフォーム業者「Anomali」と、我が国で最も潜在力を秘めた情報セキュリティのベンチャー企業「TeamT5」が提携しました。アジア太平洋地域におけるTeamT5のAPT攻撃分野に関する洞察、研究、分析能力は各方面から評価されています。今後、Anomaliの脅威インテリジェンスプラットフォームにTeamT5の情報も掲載され、世界のAnomali ユーザーに、より全面的かつ独自の脅威インテリジェンスが提供されます。

今回の提携は情報セキュリティ界および双方のユーザーにとって大きな意義があります。Anomaliの台湾総代理店であるApertex（衡崴科技）の林大森総経理は以下のように述べています。Anomaliは情報プラットフォームのリーダーとして、より広範囲かつ多様な情報セキュリティ・脅威インテリジェンスの収集に力を注いでおり、台湾は地政学的な要因から中国や北朝鮮など、さまざまな新しい情報セキュリティの攻撃パターンを一早く把握することができます。Anomaliが、TeamT5の専門的な情報を取り入れることで、世界中のAnomaliユーザーはアジア太平洋地域におけるAPT攻撃の対策および素早い対応が可能になります。

アジア太平洋地域のAPTに関する情報において、TeamT5がAnomaliの主要パートナーになることには、2つの意義があります。TeamT5の蔡松廷執行長は、AnomaliとTeamT5の提携により、ユーザーにとって脅威の可視性が高まるほか、TeamT5ブランドも世界の情報セキュリティを必要とする市場で認知度が高まると述べています。

今後、アメリカと中国は、さらに全面的かつ全方向の競争に突入すると考えられています。軍事、貿易、テクノロジーのほか情報通信の競争が起こり、誰もが情報戦（冷戦）に巻き込まれることになります。今回のAnomaliとTeamT5の提携は、アメリカと台湾が互いに補完しながら防衛することを意味しています。提携の相乗効果により、さらに多くの大手企業が積極的に情報セキュリティの完備に力を注ぐことを期待しています。

TeamT5のThreatVisionサイバーインテリジェンスプラットフームがPolySwarmのマルウェア分析マーケットプレイスに参加

Related Post

最も収益性の高いランサムウェア「REvil」

TeamT5とAnomaliが提携台湾とアメリカが共同で情報セキュリティ対策

TeamT5のThreatVisionサイバーインテリジェンスプラットフームがPolySwarmのマルウェア分析マーケットプレイスに参加

Related Post

最も収益性の高いランサムウェア「REvil」

TeamT5とAnomaliが提携 台湾とアメリカが共同で情報セキュリティ対策

TeamT5とAnomaliが提携台湾とアメリカが共同で情報セキュリティ対策