Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

REvil / Sodinokibi

Berüchtigt für Kaseya und JBS – bis russische Behörden 2022 Mitglieder festnahmen.

Vorfall melden
Kurz erklärt

REvil (Sodinokibi) war 2019–2021 eine der aggressivsten Ransomware-as-a-Service-Gruppen, verantwortlich für Großangriffe wie Kaseya und JBS. Nach internationalem Druck nahmen russische Behörden Anfang 2022 mehrere Mitglieder fest; die Operation kam zum Erliegen.

Historisch

Modell

RaaS

Auch bekannt als

REvil, Sodinokibi, Pinchy Spider

Gegründet

2019 (als Nachfolger von GandCrab)

Entstanden aus

Nachfolger von GandCrab Ransomware

Herkunft

Russland (bestätigt; FSB-Verhaftungen Jan. 2022)

Zielsektoren

Alle Sektoren; Fokus Nahrungsmittel, Finanzwesen, IT-Dienstleister

Zielregionen

Global; vermied gezielt GUS-Staaten

Typisches Lösegeld

25.000 – 70 Mio. USD; höchste bekannte Forderung aller Zeiten: 70 Mio. USD (Kaseya)

Opferzahl

96 dokumentierte Opfer (Tracker); Operation GoldDust rechnet ~5.000 Infektionen zu; inaktiv seit ~Mitte 2022

File Extensions

zufällige 5–10-stellige Endung je Opfer

Ransom Note

[endung]-readme.txt / [endung]-HOW-TO-DECRYPT.txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Backups sofort prüfen und offline/schreibgeschützt sichern.
  • Vorfall dokumentieren: Zeitpunkte, betroffene Systeme, Ransom-Note – wichtig für Forensik und Meldepflichten.
  • Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder „sauber wischen“, bevor die Forensik gesichert ist.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
  • Verschlüsselte Daten nicht löschen – teils später entschlüsselbar.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Kaseya (Juli 2021, 70 Mio. USD gefordert, 1.500+ Unternehmen über Supply-Chain betroffen)
  • JBS Foods (Juni 2021, 11 Mio. USD gezahlt, globale Fleischversorgung)
  • Quanta/Apple (Apr. 2021, 50 Mio. USD gefordert)

Angriffstechniken (TTPs)

  • Initial Access: Spearphishing (Office-Makros), Exploit-Kits, Supply-Chain (Kaseya VSA CVE-2021-30116), RDP-Brute-Force.
    • CVEs: CVE-2019-11510 (Pulse Secure), CVE-2018-13379 (Fortinet), CVE-2019-19781 (Citrix)
    • MITRE: T1566.001, T1195.002, T1190, T1078
  • Vorgehen: Löschen von Schattenkopien (vssadmin/bcdedit), Prozess-Injection, RC4-verschlüsselte Strings.

Technologie & Malware

Verschlüsselung: Salsa20 (Datei) + Curve25519 (ECDH) + RSA-2048 (Schlüsselschutz). Bekannter IOC: Registry-Pfad HKLM\SOFTWARE\WOW6432Node\BlackLivesMatter\.

Plattformen: Windows (PE32/64), Linux/ESXi (ELF64, killt VMs vor Verschlüsselung), NAS.

Bedeutung: pionierte Double- und testete Triple-Extortion; prägte das Playbook moderner Ransomware.

Indicators of Compromise (IOCs)

  • Ransom Note: [endung]-readme.txt
  • Registry-IOC: ...\BlackLivesMatter\ (Verschlüsselungsparameter)
  • RC4-Key (String-Obfuskation): pDisBT7geGwku4wBPM2Buiq3TrmvBums
  • Historie: FSB-Razzia Jan. 2022 (14 Festnahmen); Kaseya-CVE-2021-30116

Was Unternehmen jetzt prüfen sollten

  • Software-Lieferkette und RMM-Tools absichern
  • MFA und Patch-Management
  • Offline-Backups und Wiederanlauf-Test

Wie Argos unterstützt

Angriffsflächen-Management und 24/7-Detection im Cyber Defense Center adressieren die Supply-Chain-Wege, die REvil populär machte.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →