Представители ФБР официально подтверждают, что шифровальщик Diavol («дьявол» по-румынски) связан с группой TrickBot, разрабатывающей одноименный банковский троян.
Еще в прошлом году аналитики Fortinet писали, что пейлоады шифровальщиков Diavol и Conti, развернутые в различных системах в начале июня 2021 года, были очень похожи, и их объединяло многое, от использования операций асинхронного I/O во время шифрования файлов, до использования практически идентичных параметров командной строки для одинаковых функций (например, создание логов, шифрование дисков и сетевых ресурсов, сканирование сети).
Однако прямой связи между вымогателем Diavol и авторами TrickBot эксперты все же найти не сумели, к тому же обнаружив ряд немаловажных различий. К примеру, изученный ими образец Diavol не имел встроенных проверок, предотвращающих срабатывание пейлоада на системах в России и странах СНГ. Также малварь не похищала данные перед шифрованием.
Позже специалисты IBM X-Force тоже изучили образец Diavol и сообщили, что они нашли ряд новых доказательств, которые связывают Diavol с разработчиками TrickBot. В отличие от образца, проанализированного Fortinet, который был более новым и «полностью функциональным», эксперты IBM X-Force нашли более старый вариант малвари, который применялся злоумышленниками для тестирования.
В итоге в IBM X-Force пришли к тем же выводам, заметив, что Diavol и TrickBot явно связаны между собой.
Как теперь сообщили официальные представители ФБР, специалисты были полностью правы.
Также ФБР сообщает, что операторы Diavol обычно требуют выкуп в размере от 10 000 до 500 000 долларов США, причем после переговоров со злоумышленниками к оплате обычно принимаются меньшие суммы.
ФБР также призывает всех жертв, независимо от того, планируют ли они платить выкуп злоумышленникам, своевременно уведомлять правоохранительные органы об атаках для сбора свежих индикаторов компрометации.
Издание Bleeping Computer полагает, что ФБР сумело официально связать Diavol с TrickBot после ареста латвийки Аллы Витте, участвовавшей в разработке шифровальщика для хак-группы. Глава компании AdvIntel Виталий Кремез , давно отслеживавший операции TrickBot, подтвердил журналистам, что Витте отвечала за разработку нового вымогателя, связанного с TrickBot.