Ransomware GrandCrab pode ter evoluído para REvil/Sodinokibi

Recentemente, os cibercriminosos por trás do conhecido ransomware GrandCrab anunciaram que estão encerrando suas atividades após, supostamente, faturar mais de $ 2 bilhões em pagamentos de vítimas que foram extorquidas. O GrandCrab é uma ameaça de computador que leva a corrupção ou perda de dados invadindo secretamente um dispositivo e exibindo anúncios ao mesmo tempo que rouba informações e dados sensíveis das vítimas. Apesar do comunicado de que terminaram as invasões com essa ameaça, os mesmos cibercriminosos podem ter migrado para outro ransomware mais exclusivo e avançado chamado de Revil, também conhecido como Sodin e Sodinokibi.

Em abril, o Talos Security Intelligence and Research Group, grupo de pesquisa da Cisco, divulgou que uma nova família de ransomware estaria usando vulnerabilidades do Oracle WebLogic para infectar computadores. Um mês depois, o GrandCrab anunciou seu encerramento. Em meados de maio, conforme aponta o site KrebsOnSecurity, um indivíduo utilizando o nickname "Unknow" começou a fazer depósitos de mais de US$ 130 mil em moedas virtuais em dois fóruns de cibercrime, o que seria uma oferta para contratar pessoas em um novo programa de ransomware, ainda sem nome. Na oferta, cinco afiliados poderiam participar do programa, mas não foram divulgados seus detalhes técnicos. 

Uma das evidências de que o REvil/Sodinokibi e o GrandCrab vieram da mesma equipe é que ambos incluíram a Síria na lista de países que devem ser evitados de infectar. Após um ataque específico no país e que chamou a atenção da mídia e dos desenvolvedores do ransomware, uma chave de descriptografia foi desenvolvida permitindo que todas as vítimas do GrandCrab na Síria abrissem seus arquivos gratuitamente. Outra semelhança entre as ameaças está na forma como o GandCrab e o REvil geram as URLs usadas como parte do processo de infecção.

Esses são alguns indicativos de que a equipe do GandCrab não se aposentou, mas talvez tenha se reagrupado e mudou de marca para evitar investigações, já que o ransomware chamava muita atenção de pesquisadores de segurança e investigadores da lei. ?