¿Moderador de XSS o creador del ransomware REvil? Esto es lo que se sabe sobre la identidad de "Quake3"

La persona que durante años vigiló el orden en uno de los mayores foros clandestinos pudo al mismo tiempo escribir código para uno de los programas de extorsión más conocidos. Los especialistas de VULONE relacionaron al moderador de XSS con el seudónimo Quake3 con Anatoli Kravchuk, a quien la policía alemana considera el desarrollador de REvil.

Kravchuk ya está bajo búsqueda internacional. La Dirección General de la Policía Criminal de Alemania y la fiscalía de Karlsruhe lo consideran uno de los participantes clave de GandCrab y REvil desde principios de 2019 hasta, al menos, julio de 2021. A Kravchuk y a Daniil Shchukin se les imputan 130 casos de extorsión en Alemania. En 25 casos las víctimas pagaron 1,9 millones de euros, y el daño total superó los 35,4 millones de euros.

Las autoridades alemanas describieron anteriormente los roles de los sospechosos de forma bastante general. A Daniil Shchukin, conocido por los nombres UNKN, UNKNOWN y Oneillk2, se le vincula con la dirección de GandCrab y REvil, y a Kravchuk, de 43 años, lo señalan como desarrollador de REvil. VULONE fue más allá e intentó determinar qué seudónimo usaba Kravchuk dentro de la comunidad cibercriminal. Los autores del informe evalúan la relación de Kravchuk con Quake3 con un grado medio de confianza.

Quake3 no era un participante cualquiera en las plataformas clandestinas. Era moderador de XSS y Exploit, mediaba en conflictos entre participantes e interactuaba con representantes de grandes grupos criminales. Su posición le daba acceso a una comunidad cerrada donde se vendían programas maliciosos, vulnerabilidades y accesos a redes corporativas. En 2022 Sekoia ya había registrado a Quake3 en discusiones sobre programas de extorsión y intermediarios que vendían acceso a las redes de futuras víctimas.

El seudónimo siguió apareciendo en las plataformas clandestinas incluso después de la desaparición de REvil. En enero de 2024 Quake3 seguía siendo moderador de Exploit y XSS, y después de que en el verano de 2025 detuvieran al presunto administrador de XSS, pasó a formar parte de los moderadores veteranos que se negaron a confiar en la nueva administración. Parte del equipo creó luego un foro separado, DamageLib. Intel 471 citó a Quake3 entre los ocho participantes de esa escisión.

Esta trayectoria hace que la conclusión de VULONE sea especialmente notable. Si la atribución es correcta, el presunto desarrollador de REvil no desapareció de la comunidad clandestina después de que el grupo fuera desarticulado, sino que mantuvo un papel destacado en los mayores foros. No obstante, la conclusión de VULONE no puede considerarse probada por ahora. Las autoridades alemanas públicamente llaman a Kravchuk desarrollador de REvil, pero no han afirmado que el seudónimo Quake3 le perteneciera específicamente.

REvil fue considerada una de las mayores agrupaciones de su tiempo y operaba con un esquema de socios. Los creadores proporcionaban el programa malicioso y la infraestructura, y los socios penetraban en las redes de las empresas y compartían el rescate. Entre las víctimas más conocidas estuvieron la empresa cárnica JBS y el proveedor de software Kaseya. En el otoño de 2021 las fuerzas del orden interrumpieron la infraestructura de REvil, tras lo cual el grupo dejó de funcionar de facto.