Beide Gruppen arbeiteten nach dem Modell Ransomware-as-a-Service (RaaS): Entwickler erstellten die Verschlüsselungssoftware und vermieteten sie an Partner, die die Angriffe ausführten und im Gegenzug einen Anteil an der Beute erhielten.
GandCrab tauchte Anfang 2018 erstmals auf und verbreitete sich zunächst über Spam-Mails mit schädlichen Anhängen. Aus der Operation ging später REvil hervor, auch bekannt als Sodinokibi, das größere Organisationen ins Visier nahm und deutlich höhere Lösegelder forderte.
REvil entwickelte sich rasch zu einer der aggressivsten Ransomware-Gruppen weltweit, bevor sie 2021 zerschlagen wurde. Zu den Opfern zählten prominente Ziele wie die Anwaltskanzlei von Lady Gaga und US-Präsident Donald Trump sowie große Unternehmen, darunter der US-Softwareanbieter Kaseya. Die Bande verschlüsselte die Systeme ihrer Opfer und entwendete zugleich große Datenmengen, deren Veröffentlichung sie androhte, falls die Lösegeldforderungen nicht erfüllt würden.
Schtschukin äußerte sich in einem von Recorded Future News veröffentlichten Interview über seinen Aufstieg in der Cyberkriminalität. „Als Kind habe ich Müllhalden durchwühlt und Zigarettenstummel geraucht … Ich habe zwei oder sogar drei Tage nichts gegessen", sagte er. „Jetzt bin ich Millionär."
Trotz jahrelanger internationaler Ermittlungen bleiben viele mutmaßliche Mitglieder des REvil-Netzwerks außerhalb der Reichweite westlicher Behörden. 2022 verkündete der russische Inlandsgeheimdienst FSB die Festnahme von 14 mutmaßlichen REvil-Mitgliedern, doch das Verfahren kommt nur langsam voran: Bislang erschienen lediglich acht Verdächtige vor einem Moskauer Gericht, wo ihnen illegale Finanztransaktionen vorgeworfen werden, während die Anhörungen wiederholt verschoben wurden.
Die Bekanntgabe der deutschen Ermittler fügt sich in breitere Bemühungen europäischer Behörden ein, Ransomware-Akteure aus russischen Cyberkriminalitätsnetzwerken zu identifizieren. Bereits zuvor in diesem Jahr hatten deutsche Strafverfolger zwei ukrainische Verdächtige der mit Russland in Verbindung gebrachten Gruppe Black Basta zugeordnet und deren mutmaßlichen russischen Anführer auf eine internationale Fahndungsliste gesetzt.