黑客组织 - REvil：勒索软件"元老"的疯狂与覆灭

它是 RaaS 商业模式的”开创者”之一，也是 DarkSide 的”母体”，更曾用一次供应链攻击勒索 7000 万美元。
从 JBS 到 Kaseya，从嚣张喊话到一夜消失——REvil 的兴衰，写满了勒索软件黄金时代的狂傲与教训。

引言：勒索软件”黄金时代”的旗手

在勒索软件的历史上，REvil（又称 Sodinokibi）占据着一个特殊的位置：它既是 RaaS（勒索软件即服务） 商业模式的早期开创者，也是 DarkSide 的”母体”，更是那个把勒索金额喊到”天文数字”的嚣张代表。

它的目标清单里，有全球最大肉制品公司 JBS、有远程管理软件 Kaseya 及其下游上千家企业、有苹果代工伙伴广达电脑。它的勒索金额，从百万美元一路飙到 5000 万、7000 万美元——在那个时代，这是闻所未闻的数字。

一句话定义它：

REvil = 勒索软件”黄金时代”的旗手——它用最嚣张的姿态，定义了 RaaS 的暴利，也预演了它的覆灭。

一、组织概况

属性	信息
名称	REvil（Ransomware Evil），又名 Sodinokibi、Sodin
首次出现	2019 年 4 月（据信脱胎于 GandCrab 勒索软件团队）
归属	据信为俄语背景犯罪集团，具体头目存在争议
运作模式	勒索软件即服务（RaaS）——核心团队 + 加盟商（Affiliate）
主要目标	全球企业、政府、医疗机构、科技公司、供应链
招牌手法	双重勒索、供应链攻击、天价赎金、公开叫嚣
结局	2021 年 7 月”神秘消失”，2022 年 1 月俄罗斯 FSB 宣布逮捕其多名成员

二、REvil 的”江湖地位”：RaaS 的奠基者之一

2.1 从 GandCrab 到 REvil 的血脉传承

安全界普遍认为，REvil 是 GandCrab（2018-2019 年最活跃的勒索软件之一）团队”金盆洗手”后的换皮重生：

GandCrab（2018-2019，号称"退休"）
        ↓
核心团队更名重组
        ↓
REvil / Sodinokibi（2019 登场）

GandCrab 团队曾公开宣称”赚够了退休”，但其代码、基础设施、加盟商网络被完整继承到了 REvil。
这种”关闭 → 换名 → 复活“的模式，后来被 DarkSide→BlackCat 一再复制（本站已有专文）。

2.2 与 DarkSide 的”母子”关系

REvil 是 DarkSide 的”母体”：

DarkSide 最初的核心成员，曾受雇于 REvil，在积累了经验后”自立门户”。
两者的勒索软件代码高度相似、勒索信模板、地理规避逻辑几乎一致。
这也是为何 DarkSide 篇会反复提及 REvil——它们是”一脉相承”的。

理清这条谱系，就理解了勒索软件生态的”传帮带”：GandCrab → REvil → DarkSide → BlackCat，一代代更名、一代代升级，像极了犯罪世界的”企业传承”。

三、代码级攻击链：REvil 从入侵到天价勒索的完整路径

REvil 的技术链路与 LockBit、DarkSide 高度同源，但也有自己的”招牌动作”。我们从技术层面还原一条典型路径。

3.1 第一步：初始入侵（加盟商执行）

REvil 的加盟商同样大量利用暴露服务、弱口令、已知漏洞：

# 常见初始入侵入口（概念示例，仅供安全教育）
# 1. 扫描暴露的 RDP / 弱口令
nmap -p 3389 <target_range>
hydra -L users.txt -P pass.txt rdp://<target>

# 2. 利用已知漏洞（如 VPN、网关、Exchange 等）
searchsploit microsoft exchange 2021

3.2 第二步：横向移动与凭据窃取

# 内网渗透手法（概念示例）
mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords" exit
net view /domain
psexec \\target -s cmd.exe

3.3 第三步：部署 REvil 勒索载荷

REvil 的勒索软件用 C++ 编写，同样强调加密速度，并带有地理规避逻辑：

// 概念示例：REvil 的加密与地理规避逻辑（脱敏还原，仅供安全教育）
void encrypt_files() {
    // 1. 地理规避：检测系统语言，跳过俄语系国家
    if (is_cis_country(GetSystemDefaultLangID())) {
        return;   // 若目标在前苏联国家，直接退出，避免引来本国执法
    }

    // 2. 删除卷影副本，防止受害者用系统还原恢复
    system("vssadmin delete shadows /all /quiet");

    // 3. 用 Salsa20 快速加密文件
    encrypt_with_salsa20(target_files, key);

    // 4. 修改扩展名 + 投放勒索笔记
    rename_files_to("*.encrypted");
    drop_ransom_note("README.txt");
}

REvil 的三大技术特征：

特征	说明
地理规避	检测前苏联国家（CIS）语言，自动跳过，规避本土执法
Salsa20 加密	对称加密速度快；密钥用 RSA 保护
删除卷影副本	`vssadmin delete shadows`，阻断系统还原，逼受害者交赎金

3.4 第四步：双重勒索 + 天价喊话

REvil 最”出圈”的是它的双重勒索和公开叫嚣：

受害者文件被加密 + 数据被窃取
        ↓
暗网泄密站（Happy Blog）公开受害者名单，倒计时威胁
        ↓
受害者与"客服"谈判赎金金额
        ↓
REvil 公开喊话、媒体炒作，制造舆论压力
        ↓
支付赎金 → 解密器；拒付 → 数据公开

REvil 的暗网泄密站叫 “Happy Blog”（快乐博客）——一个名字与行为反差极大的”公开处刑”平台。它会在上面倒计时公布拒不付款者的数据，是”双重勒索”的标志性工具。

四、标志性事件：从 JBS 到 Kaseya

4.1 JBS 肉制品（2021）——1100 万美元赎金

2021 年 5 月，REvil 攻击了全球最大肉制品公司 JBS，导致其北美和澳大利亚业务大面积停摆：

JBS 供应全球约 1/4 的牛肉，攻击一度引发肉类供应链恐慌。
最终 JBS 支付了 1100 万美元赎金（比特币）以恢复生产。
这是继 Colonial Pipeline（DarkSide）之后，又一次勒索软件冲击”吃饭”这件大事。

4.2 Kaseya 供应链攻击（2021）——7000 万美元的”天价”勒索

这是 REvil 的”巅峰之作”，也是勒索软件史上最嚣张的一次：

目标：远程管理软件 Kaseya 的 VSA 平台。
手法：供应链攻击——利用 Kaseya VSA 的零日漏洞，把勒索软件通过合法管理通道推送到下游数千家企业。
影响：全球约 1500 家企业、数十个国家的组织同时中招，包括瑞典连锁超市 Coop（被迫关闭 800 家门店）。
勒索金额：REvil 公开喊出 7000 万美元，声称”一次付款，解锁所有受害者”——这是当时勒索软件史上最高要价。

供应链攻击的技术逻辑：

攻击者利用 Kaseya VSA 的认证绕过漏洞（CVE-2021-30116 等）
        ↓
伪装成合法的"软件更新"任务
        ↓
通过 Kaseya 服务器，把勒索软件推送给所有下游客户
        ↓
一个入口 → 上千家企业同时中招

Kaseya 事件让”供应链攻击”从理论威胁变成了现实灾难——攻破一家管理软件公司，等于同时攻破它的所有客户。 这与 APT41 的 CCleaner 投毒、Lazarus 的 3CX 攻击一脉相承。

4.3 广达电脑（2021）——勒索苹果代工伙伴

2021 年，REvil 又攻击了苹果代工伙伴广达电脑（Quanta），并公开喊话苹果公司：

声称窃取了苹果未发布产品（传闻为 MacBook Pro）的设计图纸。
勒索金额一度喊到 5000 万美元，并威胁”要么付钱，要么泄露苹果机密”。
事件再次把 REvil 推上舆论风口，也让”勒索供应链代工厂”成为新的威胁模式。

4.4 神秘消失与 FSB 逮捕（2021-2022）

REvil 的结局同样戏剧化：

2021 年 7 月：Kaseya 事件后，REvil 的暗网基础设施突然下线，组织”神秘消失”。
外界猜测：可能是美国与俄罗斯的外交施压，也可能是内部纠纷或”主动蛰伏”。
2022 年 1 月：俄罗斯联邦安全局（FSB）宣布逮捕了 14 名 REvil 成员，并查封其基础设施——这是罕见的”俄罗斯动手打击本土勒索团伙”。

REvil 的覆灭，被视为地缘政治博弈的结果：美国以 Kaseya、JBS 等攻击为由向俄罗斯施压，俄罗斯则用”抓人”作为回应筹码。勒索软件，第一次如此直接地卷入了大国政治。

五、勒索软件”三巨头”完整对比

至此，本站已完整覆盖三大勒索软件组织的兴衰：

维度	REvil	DarkSide → BlackCat	LockBit
活跃期	2019-2022	2020-2024	2019-2024
技术语言	C++	C/C++ → Rust	C（速度优先）
招牌手法	双重勒索、供应链、天价喊话	双重/三重勒索、股票做空	部分加密、StealBit 窃取
运营模式	RaaS（开创者之一）	RaaS	RaaS（最”企业化”）
标志事件	JBS、Kaseya、广达	Colonial Pipeline、MGM/Caesars	皇家邮政、全球数千受害者
最高赎金	7000 万美元	3000 万（Caesars）	千万级
结局	FSB 逮捕、神秘消失	“解散”→更名→消失	克罗诺斯行动重创
谱系	源自 GandCrab，孕育 DarkSide	REvil 分支	独立崛起

三点共性规律：

RaaS 是共同底座：三者都靠”核心团队 + 加盟商”模式规模化运作。
更名换皮是常态：GandCrab → REvil → DarkSide → BlackCat，一代代传承、一代代升级。
打击是”打地鼠”：抓一批、消失一批、又冒出下一批——生态本身难以根除。

六、启示：从 REvil 的疯狂中学到什么？

对机构

供应链是最危险的”倍增器”：Kaseya 事件证明，你即便自身安全，也可能被上游软件公司”连坐”。需审查供应商、建立供应链安全清单。
备份仍是底线：REvil 会删除卷影副本，因此离线备份、不可变备份是最后的依靠。
堵住 RDP 与弱口令：与 LockBit 一样，REvil 加盟商大量利用 RDP 弱口令入侵。
勒索响应预案：JBS 选择付钱、MGM 选择硬扛（DarkSide 篇详述），无论哪种，预案必须提前想清楚。

对个人

强密码 + MFA，杜绝弱口令。
重要数据本地 + 云端双备份，云端也要防”被同步加密”。
警惕钓鱼邮件与来路不明的附件。

七、结语：黄金时代落幕，但阴影仍在

REvil 的覆灭，标志着一个时代的某种”终结”——那个勒索软件肆意妄为、公开喊出天价赎金的狂野年代，似乎随着它的消失而告一段落。

但正如本站 LockBit 篇、DarkSide 篇反复揭示的：

一个团伙倒下了，它的代码、加盟商、商业模式仍在暗网流转。RaaS 的”土壤”不除，下一个 REvil 就随时可能卷土重来。

勒索软件的历史，从来不是”正义战胜邪恶”的爽文，而是一场没有终点的攻防军备竞赛。我们能做的，是看清它的运作逻辑，然后把自己这道防线，筑得比对手预想的更坚固一点。

检测建议：与本站技术系列的联动

本文涉及的勒索与供应链技术，本站已有对应的深度内容，可配合阅读：

本文技术点	延伸阅读
勒索软件三巨头	《DarkSide → BlackCat》《LockBit 3.0》
供应链攻击	《APT41：当”国家间谍”与”网络黑产”合二为一》
免杀与载荷投递	免杀技术系列（Base64/ROT13/反沙箱/MSF）
黑客组织 APT 分析	Lazarus / Charming Kitten 系列
黑灰产产业链	《裸聊诈骗团伙的完整组织架构与资金链路》

参考资料

美国 FBI / CISA：REvil / Kaseya 相关联合警报
卡巴斯基、Sophos、Bitdefender 等关于 REvil / Sodinokibi 的技术分析
关于 GandCrab → REvil 谱系、DarkSide 分支关系的公开报告
俄罗斯 FSB 关于逮捕 REvil 成员的公开声明

本文基于公开资料整理撰写，仅供网络安全研究与教育目的使用，不构成任何安全或法律建议。

本文是「勒索软件」系列的一员：

《黑客组织 - LockBit：勒索软件即服务的”工业帝国”兴衰史》 —— 勒索软件即服务的”头号玩家”
《黑客组织 - FIN7 / Carbanak：披着”销售公司”外衣的金融犯罪机器》 —— 金融犯罪组织的运作方式
《黑客组织 - 散落蜘蛛：从赌场勒索到赫尔辛基机场逮捕》 —— 现代勒索集团的崛起样本
《黑客组织 - DarkSide》 —— 勒索攻击重创关键基础设施的经典案例