REvil et GandCrab : la police allemande identifie les chefs

Les faits

Le 6 avril 2026, le Bundeskriminalamt (BKA) a franchi un cap symbolique dans la lutte contre le rançongiciel en dévoilant l'identité réelle d'« UNKN », leader historique des opérations GandCrab puis REvil. Derrière ce pseudonyme se cache Daniil Maksimovich Shchukin, 31 ans, originaire de la région de Krasnodar, en Russie. Également connu sous les alias Oneiilk2, Oneillk22 et GandCrab, il a piloté pendant près de six ans l'un des écosystèmes criminels les plus lucratifs du Ransomware-as-a-Service, fédérant des dizaines d'affiliés et des milliers de victimes à travers le monde. Fruit d'une enquête menée avec Europol et plusieurs partenaires internationaux, ce dossier « REvil GandCrab BKA identification » illustre une stratégie assumée : à défaut d'arrestation possible sur le sol russe, exposer publiquement les opérateurs pour miner la confiance qui structure ces réseaux et compliquer durablement leur recrutement.

Un second suspect, Anatoly Sergeevitsch Kravchuk, 43 ans, est identifié comme co-opérateur. Ensemble, ils auraient extorqué près de 2 millions d'euros sur deux douzaines de cyberattaques documentées en Allemagne, pour un préjudice économique total estimé à plus de 35 millions d'euros. GandCrab a été l'un des ransomwares les plus prolifiques de 2018-2019 avant de céder la place à REvil (aussi connu sous le nom Sodinokibi), qui a frappé des cibles majeures comme Kaseya et JBS en 2021.

Impact et exposition

Cette identification publique est avant tout un signal politique. GandCrab et REvil ont cessé leurs opérations respectives en 2019 et 2021, mais leurs opérateurs n'avaient jamais été formellement identifiés par les autorités occidentales. Le BKA lie les deux suspects à au moins 130 cas d'extorsion informatique sur le territoire allemand. Plusieurs anciens affiliés de REvil ont déjà été arrêtés en Roumanie et en Pologne, mais les cerveaux de l'opération sont restés hors d'atteinte en Russie.

Cette affaire illustre la difficulté structurelle de la lutte contre la cybercriminalité lorsque les suspects résident dans des juridictions non coopératives. Malgré les mandats d'arrêt internationaux, l'absence d'accord d'extradition avec la Russie rend toute arrestation improbable. Toutefois, l'identification publique limite les déplacements internationaux des suspects et envoie un message de dissuasion aux opérateurs actifs. On a vu récemment un schéma similaire avec les experts US qui ont plaidé coupable dans l'affaire BlackCat/ALPHV.

Recommandations (2)

• Pour les organisations ayant été victimes de GandCrab ou REvil entre 2019 et 2021 : vérifier si les vecteurs d'entrée utilisés à l'époque ont été corrigés, car les mêmes vulnérabilités sont recyclées par d'autres groupes.
• Maintenir à jour les IoC (indicateurs de compromission) liés à l'écosystème Medusa et aux successeurs spirituels de REvil.
• Sensibiliser les équipes au fait que le modèle RaaS signifie que la disparition d'un groupe ne protège pas contre ses affiliés, qui migrent vers d'autres plateformes.

Recommandations

Pour les RSSI et équipes SOC, cette identification ne change rien à la posture défensive immédiate mais doit renforcer certains réflexes. Il est recommandé de vérifier que les indicateurs de compromission historiques liés à GandCrab et REvil/Sodinokibi (hash de binaires, clés de chiffrement connues, adresses C2 archivées) sont toujours intégrés aux règles YARA et signatures EDR, certains affiliés ayant réutilisé du code source fuité dans des variantes ultérieures. Les organisations ayant subi une attaque GandCrab ou REvil entre 2018 et 2021 doivent conserver leurs journaux d'incident : les preuves numériques associées à ces dossiers alimentent désormais des procédures judiciaires actives en Allemagne, et pourraient être sollicitées dans le cadre de la coopération internationale.

Pourquoi identifier publiquement des suspects qu'on ne peut pas arrêter ?

La divulgation d'identité sans perspective d'arrestation immédiate répond à une logique de naming and shaming déjà employée par les autorités américaines (OFAC, DOJ) contre des opérateurs de Conti, Trickbot ou Evil Corp. Trois objectifs sont poursuivis : restreindre la liberté de mouvement des suspects, qui risquent une arrestation dès qu'ils quittent le territoire russe ou un pays allié ; permettre l'activation de sanctions économiques et le gel d'avoirs identifiés ; et démontrer aux victimes et à l'opinion publique que les enquêtes progressent malgré l'absence d'extradition. Le BKA s'inscrit ici dans la continuité d'Europol, qui coordonne depuis 2021 l'opération GoldDust visant les héritiers de GandCrab.

REvil est-il encore actif sous une autre forme ?

REvil a officiellement cessé ses activités en octobre 2021 après une opération de démantèlement partiel menée par le FBI, mais le code source et les techniques de l'opération ont largement essaimé. Plusieurs chercheurs en threat intelligence ont documenté des recoupements de code entre REvil et des familles apparues depuis, notamment certaines branches de LockBit et des groupes émergents en 2023-2024. La structure en Ransomware-as-a-Service popularisée par GandCrab et perfectionnée par REvil reste le modèle économique dominant de l'écosystème ransomware actuel.

Votre infrastructure est-elle exposée ?

Les vecteurs d'intrusion historiquement exploités par ces groupes — RDP exposé, VPN non patchés, phishing avec pièce jointe macro — restent parmi les causes premières de compromission ransomware en 2026. Un audit d'exposition externe et un test d'intrusion ciblé permettent d'identifier ces points d'entrée avant qu'un affilié ne les exploite.