ZDU Intel · Ficha de villano · Ransomware como servicio · 2019 a 2022

REvil

También conocido como Sodin, Sodinokibi

El ransomware como servicio detrás del ataque a la cadena de suministro de Kaseya en 2021, heredero de GandCrab.

MITRE ATT&CK S049644 técnicas

1vulnerabilidades que explota

1de ellas en el catálogo KEV de CISA

44técnicas de MITRE ATT&CK

0víctimas publicadas en México

Quién es

REvil, también llamado Sodinokibi o Sodin, es una familia de ransomware ligada al grupo GOLD SOUTHFIELD y operada como servicio al menos desde abril de 2019. Comparte código con GandCrab. MITRE lo sigue como software S0496 y documenta que FIN7 lo usó. En enero de 2022 el FSB de Rusia anunció la detención de integrantes del grupo.

Cómo entra

Sus afiliados entran por servicios remotos expuestos, sitios infectados y correos con adjuntos maliciosos. En julio de 2021 aprovechó una vulnerabilidad de Kaseya VSA para cifrar a cientos de empresas a través de sus proveedores de servicios administrados.

Qué hace una vez dentro

Es muy configurable. Detiene servicios y procesos que estorban, borra las copias de seguridad de Windows y cifra los equipos. Roba información antes para la doble extorsión.

A quién ataca

Manufactura, transporte, energía eléctrica y muchos otros sectores en todo el mundo.

Técnicas de MITRE ATT&CK

Acceso inicial 3

T0886Remote Services
T1189Drive-by Compromise
T1566.001Spearphishing Attachment

Ejecución 9

T0863User Execution
T1701.001PowerShell
T1701.006JavaScript
T1047Windows Management Instrumentation
T1059.001PowerShell
T1059.003Windows Command Shell
T1059.005Visual Basic
T1106Native API
T1204.002Malicious File

Evasion 1

T0849Masquerading

Sigilo 9

T1027.011Fileless Storage
T1027.013Encrypted/Encoded File
T1036.005Match Legitimate Resource Name or Location
T1055Process Injection
T1070.004File Deletion
T1134.001Token Impersonation/Theft
T1134.002Create Process with Token
T1140Deobfuscate/Decode Files or Information
T1480.002Mutual Exclusion

Debilitamiento de defensas 3

T1112Modify Registry
T1685Disable or Modify Tools
T1688Safe Mode Boot

Comando y control 4

T0869Standard Application Layer Protocol
T1071.001Web Protocols
T1105Ingress Tool Transfer
T1573.002Asymmetric Cryptography

Inhibit Response Function 1

T0881Service Stop

Descubrimiento 7

T1007System Service Discovery
T1012Query Registry
T1069.002Domain Groups
T1082System Information Discovery
T1083File and Directory Discovery
T1614.001System Language Discovery
T1680Local Storage Discovery

Impacto 6

T0828Loss of Productivity and Revenue
T0882Theft of Operational Information
T1485Data Destruction
T1486Data Encrypted for Impact
T1489Service Stop
T1490Inhibit System Recovery

Exfiltración 1

T1041Exfiltration Over C2 Channel

Fuente: MITRE ATT&CK v20, software S0496.

Vulnerabilidades que explota

CVE	Producto	CVSS	KEV de CISA
CVE-2021-30116	Kaseya VSA	10	Sí

Documentadas en los avisos y reportes de la sección Fuentes.

Villanos relacionados

Cibercrimen financiero · Activo desde 2013FIN7

Fuentes

← Todos los villanos

Inteligencia de Amenazas QMA · Ficha generada a partir de fuentes públicas verificadas (MITRE ATT&CK v20 y la base de Inteligencia de Amenazas QMA), redactada con asistencia de IA y revisada por QMA. Datos al 7-nov-2026.