RANSOMWARE: Um dos ataques mais ocorrido nos últimos 5 anos

Aqui esta o pdf de todo o conteúdo do curso em dois formatos, leitura e anotações.

https://www.nomoreransom.org/pt/index.html Principal local para buscar informações.

Sites com material sobre o assunto IOT e RANSOMWARE.

Demonstração de um ataque de RANSOMWARE.

How does a computer become infected with ransomware?

Nunca pague o resgate para o criminoso.

Objetivo de um ataque.

Estatísticas de ransomware que você deve conhecer em 2022

Ransonware é uma forma de software malicioso que se infiltra em um computador ou rede e limita ou restringe o acesso a dados críticos criptografando arquivos até que um resgate seja pago. O primeiro uso de ransonware remonta 1989, quando disquetes eram de alta tecnologia e o preço do resgate era de apenas US$ 189.

Os ataques de ransomware estão aumentando e continuam sendo uma força disruptiva no setor de segurança cibernética, afetando tudo, desde instituições financeiras até o ensino superior. Por causa do aumento do trabalho remoto, motivado pela pandemia, os ataques aumentaram 148% no mundo todo. No Brasil, apenas no primeiro semestre de 2021, foram 92% a mais que no ano anterior.

O ransomware é uma ameaça cada vez maior para milhares de organizações e empresas. Desde 2016, uma média de 4 mil ataques ocorreram todos os dias apenas nos Estados Unidos. Conheça as principais estatísticas:

1. O tempo médio de inatividade de uma empresa após um ataque é de 22 dias (Statista, 2021)

2. E-mails maliciosos aumentaram 600% devido à Covid-19 (ABC News, 2021)

3. Pesquisa recente descobriu que 37% das organizações entrevistadas foram afetadas por ataques em 2020 (Sophos, 2021)

4. O Brasil sofreu mais de 33 milhões de tentativas de ataque de ransomware em 2021 (SonicWall, 2022)

5. Ramsonsare é o malware número 1 (Datto, 2020)

6. Em 2021, o maior pagamento de ransomware, US$ 40 milhões, foi feito por uma seguradora, estabelecendo um recordo mundial (Business Insider, 2021)

7. A taxa média de resgate solicitada aumentou de US$ 5 mil em 2018 para cerca de US$ 200 mil em 2020 (National Security Institute, 2021)

8. Das 1086 organizações que tiveram dados criptografados, 96% recuperaram suas informações (Sophos, 2021)

9. 55% das empresas brasileiras sofreram ataques de ransomware em 2021 (Sophos, 2022)

10. A partir de 2020, cerca de um em cada 6 mil e-mails contém URLs suspeitas, incluindo ransomware (Fortinet, 2020)

11. As táticas mais comuns que os hackers usam para realizar ataques de ransomware são campanhas de phishing por e-mail, vulnerabilidades RDP e vulnerabilidades de Software (Cybersecurity & Infrastructure Security Agency, 2021)

12. 59% dos empregadores permitem que seus funcionários acessem os aplicativos da empresa a partir de dispositivos não gerenciados (Bitglass, 2021)

13. Uma pesquisa realizada com 1263 empresas descobriu que 80% das vítimas que enviaram um pagamento de resgate sofreram outro ataque logo depois e 46% tiveram acesso aos seus dados, mas a maioria das informações foi corrompida (Cyberreason, 2021)

14. Além disso, 69% dos entrevistados sofreram perda de receita e 53% afirmaram que suas marcas foram prejudicadas (Cyberreason, 2021)

15. 29% dos entrevistados afirmaram que suas empresas foram forçadas a eliminar cargos após um ataque de ransomware (Cyberreason, 2021)

16. 42% das empresas com apólices de seguro cibernético em vigor indicaram que o seguro cobria apenas uma pequena parte dos danos resultantes de um ataque de ransomware (Cyberreason, 2021)

17. 40% das empresas brasileiras afetadas por ransomware optaram por pagar o resgate (Sophos, 2022)

18. Ransomware REvil foi responsável por 50% dos ataques remediados no Brasil em 2021 (IBM, 2022)

Estatísticas recentes de ransomware

Houveram muitos ataques de ransomware nos últimos anos que afetaram organizações em todo o mundo e seus cientes. Aqui estão alguns dos mais notáveis:

1. Em março de 2021, o fornecedor global de hardware de TI Acer foi vítima de um ataque executado pelo grupo de ransomware Revil (Tech Target, 2021)

2. Também em março de 2021, a operadora de seguros cibernéticos CNA Financial divulgou que foi vítima de um ataque cibernético. O ataque foi supostamente executado pelo grupo Phoenix (Tech Target, 2021)

3. Em maio de 2021, a Colonial Pipeline foi vítima de um ataque de ransomware que afetou o fluxo de petróleo no leste dos Estados Unidos (Tech Target, 2021)

4. Em junho de 2021, o fornecedor de processamento de carne JBS USA foi atingido por um ataque que reduziu a capacidade da empresa de empacotar produtos à base de carne. A empresa teria pago US$ 11 milhões em resgate aos criminosos do REvil (Tech Target, 2021)

5. Em julho de 2021, o fornecedor de software de gerenciamento remoto Kaseya foi vítima de um ataque na cadeia de suprimentos, supostamente pelo grupo Revil (Tech Target, 2021)

6. Em outubro de 2021, o Sinclair Broadcast Group foi vítima de um ataque de ransomware que prejudicou as operações de transmissão de rede (Tech Target, 2021)

Estatísticas de ransomware específicas do setor

Os ataques de ransomware afetam empresas de todos os tamanhos e setores da economia. Em 2021, 80% das organizações foram atingidas por um ataque de ransomware (Claroty x Forbes). No Brasil, o setor manufatureiro foi o mais afetado, com 20% dos ataques (IBM).

Assistência médica

1. Mais de 2100 violações de dados no setor de saúde foram relatadas desde 2009 (TechJury, 2021)

2. Setor de saúde é o terceiro mais afetado por ataques de ransomware no Brasil, com 13% dos casos (Apura, 2021)

3. A partir de 2020, as organizações do setor dedicaram apenas cerca de 6% de seu orçamento a medidas de segurança cibernética (Fierce Healthcare, 2020)

4. Os ataques de ransomware foram responsáveis por quase 50% de todas as violações de dados de saúde em 2020 (Health and Human Services, 2021)

5. Os ataques à saúde custam mais do que qualquer outro setor – US$ 408 por registro comprometido (HIPPA Journal, 2020)

6. Os ataques de ransomware contra provedores de saúdo dos Estados Unidos custaram mais de US$ 157 milhões em perdas desde 2016 (HIPPA Journal, 2020)

7. Em 2020, 560 estabelecimentos de saúde foram afetados por ataques de ransomware em 80 incidentes separados (Emsisoft, 2021)

8. O setor de saúde experimentou um aumento de 51% no volume total de registros expostos entre 2019 e 2021 (Constella, 2021)

9. De 1º de janeiro a 31 de julho de 2021, houveram 2084 reclamações de ransomware, um aumento de 62% em relação ao ano anterior (Constella, 2021)

Educação

1. Os ataques de ransomware contra universidades aumentaram 100% entre 2019 e 2020 (BlueVoyant, 2021)

2. O custo médio de um ataque de ransomware no setor de ensino superior é de US$ 447 mil (BlueVoyant, 2021)

3. Desde 2020, 1681 estabelecimentos de ensino superior foram afetados por 84 ataques de ransomware (Emsisoft, 2021)

4. 66% das universidades não possuem configurações básicas de segurança de e-mail (BlueVoyant, 2021)

5. 38% das universidades analisadas no Relatório de Segurança Cibernética no Ensino Superior tinham portas de bancos de dados inseguras ou abertas (BluVoyant, 2021)

6. Os ataques cibernéticos contra escolas K-12 aumentaram 18% em 2020 (K-12 Cybersecurity, 2020)

7. Um ataque de ransomware em abril de 2018 custou a um distrito escolar de Massachusetts US$ 10 mil em bitcoin (CyberScoop, 2018)

Finanças e seguros

1. Em 2020, 90% de todas as instituições financeiras sofreram ataques de ransomware (HUB Security. 2021)

2. Mais de 204 mil pessoas experimentaram uma tentativa maliciosa de login para acessar suas informações bancárias em 2021 (HUB Security, 2021)

3. 90% das instituições financeiras foram alvo de ataques de ransomware (PR Distriburion, 2018)

4. Há uma ameaça crescente para pequenas instituições financeiras com menos de US$ 35 milhões em receita (National Credit Union Administration, 2019)

5. Em 2020, 70% dos 52% dos ataques que ocorreram em instituições financeiras vieram do malware Kryptik Trojan (HUB Security, 2021)

6. O LokiBot teve como alvo mais de 100 instituições financeiras, obtendo mais de US$ 2 milhões em receitas (HUB Security, 2021)

7. Os bancos tiveram um aumento de 520% nas tentativas de phishing e ransomware entre março e junho de 2020 (American Banker, 2020)

Governo

1. Nos últimos três anos, 246 ataques de ransomware atingiram organizações governamentais dos Estados Unidos, a um custo estimado de US$ 52,88 bilhões (Sungard AS, 2021)

2. Em junho de 2019, uma cidade da Flórida pagou um resgate de US$ 600 mil para recuperar arquivos hackeados (CBS News, 2019)

3. A partir de 2020, apenas cerca de 38% dos funcionários de governos locais e estaduais são treinados na prevenção de ataques de ransomware (IBM, 2020)

4. Um ataque de ransomware em 2020 contra Nova Orleans custou mais de US$ 7 milhões (SC Media, 2020)

5. Um ataque de ransomware atingiu Baltimore em 2019 e causou perdas de mais de US$ 18 milhões (Baltimore Sun, 2019)

6. Em 2019, 226 prefeitos de cidades dos Estados Unidos em 40 estados concordaram com um pacto que nega pagamentos de resgate a criminosos cibernéticos (Hashed Out, 2020)

7. Em 2019, os ataques contra municípios aumentaram 60% em relação ao ano anterior (Kaspersy, 2019)

8. A principal história de segurança cibernética em 2019 foi sobre ataques de ransomware contra governos estaduais e locais ((Government Technology, 2019)

9. Entre 2013 e 2018, 48 estados dos EUA foram afetados por pelo menos um ataque de ransomware (Bank Info Security, 2019)

Estatísticas de ransomware para dispositivos móveis

Com o aumento da dependência de telefones celulares, principalmente com uso de dispositivos móveis pessoais no local de trabalho, o risco de ataques de ransomware cresceu, já que funcionários podem acessar informações confidenciais diretamente em seus dispositivos móveis via Wi-Fi corporativo e, muitas vezes, por redes não seguras.

Isso deixa o usuário e sua empresa m perigo. Dê uma olhada nas estatísticas abaixo.

1. Mais de 68 mil novos Trojans de ransomware para dispositivos móveis foram encontrados em 2019 (Hashed Out, 2020)

2. Em 2017, variantes de malware móvel aumentaram 54% (Symantec, 2018)

3. Mais de 4,2 milhões de usuários móveis americanos sofreram ataques de ransomware em seus telefones (Kaspersky, 2020)

4. Em 2018, a Symantec detectou mais de 18 milhões de instâncias de malware móvel (Symantec, 2018)

5. 60176 Trojans de ransomware móvel foram detectados em 80638 usuários de 150 países em 2018 (Kaspersky, 2018)

6. Existem mais de 4 mil variantes e famílias de ameaças móveis no banco de dados de amostras da McAfee (McAfee, 2021)

7. Mais de 8 mil instalações de Trojan ransomware de dispositivos móveis foram detectados em 2018 (Kaspersky, 2018)

8. 900 mil aparelhos Android foram atingidos pelo ransomware ScarePakage em apenas 30 dias (KnowBe4, 2020)

Estatísticas de ransomware no mercado de criptomoedas

Desde o início do Bitcoin, a primeira criptomoeda do mundo, a transferência de dinheiro e dados tornou-se cada vez mais eficiente. Dados de 2021 mostram que existem mais de 4 mil tipos diferentes de criptomoedas, mas com esse avanço da tecnologia digital, novas ameaças na segurança cibernética vieram à tona.

1. Em 2017, 95% de todos os pagamentos de resgate foram sacados via BTC-e, uma plataforma Bitcoin (Bleeping Computer, 2017)

2. Em 2020, os pagamentos de resgates foram 7% de todos os fundos recebidos por endereços de criptomoedas (Chainalysis, 2020)

3. Hackers que atacaram uma empresa de petróleo ganharam mais de US$ 90 milhões em Bitcoin (Business Insider, 2021)

4. Em junho de 2020, uma universidade dos Estados Unidos pagou a criminosos cibernéticos US$ 1,14 milhão em Bitcoin após um ataque de ransomware (BBC News, 2020)

5. As transações de criptomoedas podem ser rastreadas até o individuo 60% das vezes (MIT Technology Review, 2017)

6. A atividade ilegal representou 2,1% de todo o volume de criptomoedas, ou cerca de US$ 21,4 milhões, em transferências em 2019 (Chinalyis, 2021)

O custo de ataques de ransomware

Os ataques de ransomware podem ser caros, tanto financeiramente quanto para a reputação, e empresas em todo o mundo que foram vítimas de ataques gastaram cerca de US$ 144 milhões para resolver o problema. Aqui estão algumas estatísticas que mostram os custos causados por ataques de ransomware.

1. O valor das demandas de resgate aumentou, com algumas ultrapassando US$ 1 milhão (Cybersecurity & Infrastructure Security Agency, 2021)

2. O custo dos ataques de ransomware ultrapassou US$ 7,5 bilhões em 2019 (Emsisoft, 2019)

3. Em 2021, o pagamento médio de uma empresa de médio porte foi de US$ 170.404 (Sophos, 2021)

4. Em maio de 2021, a Colonial Pipeline pagou aos hackers US$ 4,4 milhões em Bitcoin depois de receber uma nota de resgate (The Wall Street Journal, 2021)

5. No primeiro trimestre de 2017, a FedEx perdeu cerca de US$ 300 milhões com o ataque do ransomware NotPetya (CyberScoop, 2021)

6. O custo médio para se recuperar de um ataque de ransomware é de US$ 1,85 milhão (Sophos, 2021)

7. Os danos resultantes de ataques de ransomware foram superiores a US$ 5 bilhões em 2017, 15 vezes o custo em 2015 (Cybercrime Magazine, 2017)

8. Os custos de inatividade são quase 50 vezes maiores do que o resgate solicitado em 2020 (Datto, 2020)

9. Em média, os ataques de ransomware causam 15 dias úteis de inatividade. Devido a esse tempo, as empresas perdem cerca de US$ 8500 por hora (Health IT Security, 2020)

10. Ransomware que atacou uma empresa de petróleo e gás custou US$ 30 milhões (Datto, 2017)

11. O grupo de hackers por trás de um ataque a uma empresa de petróleo supostamente ganhou US$ 90 milhões em pagamentos de resgate em apenas nove meses de cerca de 47 vítimas (Fox Business, 2021)

Projeções de ransomware

O ransomware é um problema cada vez maior para a segurança cibernética e continua a moldar o mundo atualmente. Olhando para o futuro, aqui estão algumas estatísticas que mostram projeções e tendências.

1. Em 2022, haverá mais cooperação entre os países para encontrar, extraditar e, finalmente, processar grupos de ransomware (Forbes, 2020)

2. O ransomware se tornará a principal tática usada em ataques à cadeia de suprimentos de software e violações de dados de terceiros em 2022 (SC Media, 2022)

3. 60% das empresas, juntamente com investidores e capitalistas de risco, usarão o risco de segurança cibernética como um fator-chave na avaliação de novas oportunidades de negócios até2025 (Gartner, 2022)

4. 30% das empresas adotarão modelos de confiança zero para acesso à rede até 2024 (Gartner, 2022)

5. Os trabalhadores remotos forma o principal alvo dos criminosos cibernéticos ao longo de 2021 e continuarão a ser em 2022 (Security Magazine, 2020)

Tendências de ataques de ransomware

2021 e o início de 2022 já viram um aumento constante no número de ataques cibernéticos e resgates exigidos por hackers. Abaixo estão algumas das tendências mais visíveis em ransomware e como afetaram recentemente o cenário cibernético.

Exploração de serviços de outsourcing de TI

Os grupos de ransomware estão mudando seu foco para provedores de serviços gerenciados (MSPs), uma plataforma que atende a muitos clientes ao mesmo tempo. Isso significa que, se um hacker obtiver acesso a um MSP, ele também poderá alcançar os clientes que está atendendo. Na maioria das vezes, os MSPs são invadidos devido a ferramentas de acesso remoto que são mal protegidas.

Atenção voltada para setores vulneráveis

Devido às implicações econômicas, logísticas e financeiras contínuas da pandemia, os invasores cibernéticos têm aproveitado os setores mais impactados, como saúde, órgãos públicos e instalações educacionais. Os hackers também continuam vendo a pandemia como uma oportunidade de aproveitar os funcionários que agora estão trabalhando remotamente em seus dispositivos pessoais para seus golpes.

Evolução de cepas de ransomware (e defesas)

Em 2022, o ransomware e as táticas utilizadas por hackers para realizar ataques estão em evolução, mas, felizmente, as defesas também. Nos últimos anos, novas cepas de ransomware foram descobertas:

Netwalker:Criado pelo grupo Circus Spider em 2019, esse ransomware permite que hackers aluguem acesso ao código de malware em troca de uma porcentagem dos fundos recebidos.

Darkside:É um grupo relativamente novo que tenta roubar e criptografar dados confidenciais, incluindo backups por meio deRaaS.

Conti:O ransomware Conti usa uma técnica de dupla extorsão para criptografar dados em uma máquina infectada. Os invasores deste grupo geralmente enviam um e-mail de phishing proveniente de um endereço que a vítima confia.

REvil:Também conhecido como Sodin e Sodinokibi, o REvilé um grupo que ganhou reputação por extorquir pagamentos de resgate maiores que seus concorrentes, além de promover fóruns clandestinos de crimes cibernéticos.

Como as novas cepas de ransomware se comportam de maneira diferente hoje, há a necessidade de buscar métodos alternativos de detecção. As defesas começaram recentemente a endurecer, incluindo heurística ou análise comportamental aprimoradas e o uso de arquivos canário ou isca para detecção precoce.

Maior disseminação para dispositivos móveis

Os hackers têm aproveitado os recursos dos dispositivos móveis, como alertas de emergência e permissões relaxadas para espalhar malware. A maioria das variantes de ransomware móvel tem a capacidade de cobrir todas as janelas ou aplicativos do navegador com uma nota de resgate, tornando o dispositivo inutilizado.

Prevalência de Ransomware-as-a-Service

O RaaS é uma assinatura que permite aos afiliados usar ferramentas de ransomware já desenvolvidas para realizar ataques e ampliar seu alcance. A natureza descentralizada dos ataques dificulta o trabalho das autoridades.

Os criadores dessas ferramentas recebem uma porcentagem de cada pagamento de resgate bem-sucedido. Como o resgate médio (US$ 11.605) exigido pelos hackers aumentou 33% desde o terceiro trimestre de 2019, os afiliados estão fazendo até 80% de cada pagamento.

Prevenção de ataques de ransomware

Certifique-se de tomar as medidas necessárias para evitar um ataque e perda de dados em sua organização. Aqui estão algumas maneiras eficazes de impedir que o ransomware afete sua empresa.

Eduque seus funcionários

Utilize o treinamento em segurança para ajudar seus funcionários a entender melhor a importância da segurança cibernética. A implementação deste treinamento ajudará a garantir uma cultura de trabalho ainda mais resiliente.

Evite clicar em links suspeitos

Tenha cuidado ao abrir ou clicar em anexos ou links provenientes de SPAM ou e-mails não solicitados. De acordo com relatório de investigação de violação de dados de 2021 da Verizon, o Phishing está envolvido em 70% das violações de dados. Para evitar isso, é essencial saber identificar um golpe de phishing.

Use proteção de e-mail e endpoint

Certifique-se de verificar todos os e-mails, filtrar anexos e links maliciosos e manter os firewalls e o software de detecção de endpoints atualizados com assinaturas de malware mais recentes. Você também deve notificar os usuários sobre e-mails fora da rede e fornecer VPNs para os funcionários usarem para se conectarem.

Implemente um sistema de senha mais forte

A segurança da senha é crucial para proteger os ativos de uma empresa. Utilize a autenticação de dois fatores para evitar o compartilhamento de senhas e o uso excessivo de uma mesma senha. Também pode ser benéfico usar um sistema SSO para segurança adicional.

Mantenha backups externos imutáveis

Certifique-se de ter backups de quaisquer dados e sistemas importantes ou confidenciais. Pratique seu movimento de restauração no caso de um ataque de ransomware. Limite o acesso a esses backups, pois as gangues de ransomware geralmente visam arquivos de backup para prejudicar a capacidade de restauração.

No entanto, lembre-se de que os backups não podem ajudar nos casos em que o agente do ransomware também extraiu os dados para seus próprios servidores e ameaçou liberar essas informações publicamente, a menos que o resgate seja pago. Para combater a exfiltração, considere um software de prevenção de perda de dados.

Mitigar o impacto do ransomware

Reduza o raio de explosão

O raio de explosão é a quantidade de dano que pode ser causado pelo comprometimento de um único usuário ou dispositivo aleatório. Reduza esse raio limitando o acesso a dados críticos apenas para aqueles que precisam desse acesso.

Implemente um modelo de segurança de confiança zero

Assuma que suas defesas de perímetro falharão e certifique-se de que tudo dentro dele ainda esteja seguro e protegido. O modelo de confiança zero exige que todos os usuários e dispositivos sejam autenticados à sua rede sempre que se conectam, não apenas uma vez. Também se deve monitorar a atividade no ambiente e garantir que os usuários tenham acesso apenas ao que realmente precisam.

Utilize UEBA para detecção e resposta a ameaças

Deve-se monitorar e gerar alertas continuamente para sinais indicadores de atividade de ransomware nos dados. Utilize ferramentas de análise de comportamento de usuários e entidades para detectar e alertar quando usuários ou dispositivos se comportam de forma anormal e implemente respostas automáticas para interromper ameaças.

O ransomware não vai desaparecer tão cedo, então é fundamental ficar à frente dos criminosos cibernéticos e tomar medidas para se tornar mais resiliente. Saiba como a Varonis pode te ajudar a proteger sua empresa e avaliar sua prontidão para um possível ataque de ransomware. Solicite uma avaliação gratuita.

Quem viu apenas as epidemias recentes do Petya/NotPetya e do WannaCry pode acreditar que ransomwares sejam uma ameaça que emergiu somente esse ano.

Na verdade, estávamos falando de ransomwares por aqui desde o início ano passado e estudos apontam que nos últimos 11 anos esse tipo de ataque superou o número de vazamentos de dados, que figuram com mais frequência nas manchetes.

E, se cavarmos ainda mais fundo, podemos encontrar raízes desse tipo de praga digital em um passado ainda mais distante. O ransomware não é de hoje, tem uma longa estrada no passado, está evoluindo e ainda tem um longo caminho para frente, infelizmente.

O Início

O registro mais antigo de um vírus com esse tipo de capacidade remonta o ano de 1989. José Sarney ainda era presidente do Brasil e Fernando Collor de Mello e Luís Inácio “Lula” da Silva disputavam o segundo turno da primeira eleição direta no país em décadas. Lá fora, caía o Muro de Berlim. Em termos de tecnologia, a primeira proposta da World Wide Web era apresentada por Tim Berners-Lee e surgiam os primeiros provedores de acesso à internet comerciais.

Disquete original comprometido.

E surgia também o AIDS, um malware que foi distribuído em 20.000 disquetes contaminados entregues pelo correio a conferencistas de uma convenção realizada pela Organização Mundial da Saúde para debater a doença homônima. O vírus era uma bomba-relógio: após a 90º inicialização do sistema, ele escondia diretórios e encriptava todos os arquivos do drive C:. Para “renovar a licença”, segundo sua mensagem de resgate, a vítima deveria enviar US$189 para uma caixa-postal localizada no Panamá. Antes da web como conhecemos hoje, antes das moedas virtuais, ele era um legítimo ransomware.

Curiosamente, o pioneiro do gênero não era um hacker ou mesmo um profissional de tecnologia, mas o biólogo Dr. Joseph Popp, que alegou estar arrecadando fundos para a pesquisa da AIDS. Mais tarde, ele foi considerado mentalmente inimputável e liberado das acusações.

A tela de instruções do AIDS

Na prática, o AIDS nem mesmo encriptava o conteúdo dos documentos, apenas trocava seus nomes e extensões. Popp também utilizou um modelo de criptografia simétrico, não baseado em uma chave privada, e os especialistas de segurança conseguiram produzir com facilidade ferramentas capazes de liberar os arquivos comprometidos.

Adam Young e Moti Yung, dois pesquisadores, se debruçariam sobre o vírus criado por Popp e publicariam em 1996 um artigo seminal a respeito do tema: “Cryptovirology: Extortion-Based Security Threats and Countermeasures“. Nesse estudo, eles revelam os riscos envolvidos em uma praga digital capaz de utilizar criptografia avançada para bloquear por completo a recuperação de arquivos, dando início ao ramo de segurança conhecido como Criptovirologia.

Apesar do temor, o conceito de ransomware permaneceria adormecido por mais uma década. Archievus surgiria em 2006 e se provaria muito mais complexo do que o AIDS para ser contornado: ele utilizava uma chave de criptografia RSA assimétrica para criptografar tudo que encontrasse na pasta Meus Documentos. Para efetuar o resgate, as vítimas precisavam efetuar compras em sites específicos para desbloquear uma senha. A caixa de Pandora prevista por Young e Yung dez anos antes começava a ser aberta…

Falsos Bloqueios

Mas a partir de 2011, e ainda por um longo tempo, o cenário dos ransomware seria dominado por um outro tipo de ameaça: não uma ameaça que bloqueava arquivos individualmente, mas que bloqueava o acesso ao sistema operacional como um todo. Reveton, o primeiro deles a ter um nome específico, emergiria em 2012 mas as características eram similares a vários que surgiram antes: alegando ter detectado atividades ilegais no computador, ele travava o acesso e exigia o pagamento de uma “multa” ao usuário.

Usando carteiras virtuais, os ransomwares fingiam ser o FBI, a polícia, o governo dos Estados Unidos e usavam táticas de susto para enganar suas vítimas, as induzindo a acreditar que haviam sido pegas no flagrante em algum tipo de comportamento criminoso ou vexaminoso. Reveton chegava a exibir imagens da webcam para sugerir que seu alvo estava sendo monitorado constantemente, mas, na verdade, as imagens não eram transmitidas para lugar nenhum. A vergonha e o medo levavam muitas de suas vítimas a pagar a tal multa. Em muitos casos, o computador nem mesmo estava bloqueado de verdade, apenas exibia uma mensagem facilmente contornável na inicialização.

Reveton era capaz de exibir mensagens de alerta localizadas, em diferentes linguagens e fingindo ser diferentes forças policiais, de acordo com o IP da vítima.

Essa variável de falsos bloqueios não ficou confinada aos PCs, mas chegou a estender seus tentáculos para o ambiente Android, com vírus como Sypeng e Koler fingindo ser alertas do FBI ou outras autoridades e se replicando através da lista de contato das vítimas. E, embora tenha caído em desuso, esse tipo de ameaça ainda sobrevive com alguns casos esporádicos e muitas das suas ideias foram reaproveitadas nos ataques atuais que simulam um falso incidente de suporte técnico.

Criptocaos

Em Setembro de 2013, o ransomware como é mais conhecido na mídia finalmente ganhou sua forma sob o nome Cryptolocker.

Ele era a concretização de uma receita que seria seguida à exaustão pelos anos seguintes: era obtido via download por sites comprometidos ou enviado através de campanhas de phishing, utilizava criptografia (uma chave AES-256 para encriptar arquivos, seguida de uma chave 2048bits da RSA para encriptar a chave), empregava servidores de comando e controle camuflados pela rede Tor e os cibercriminosos ainda ameaçavam destruir a chave individual depois de três dias se o pagamento não fosse efetuado. Para ampliar seu poder de disseminação, o Cryptolocker estava baseado na infraestrutura da botnet GameOver Zeus.

Em 2014, esse tipo de ataque já começava seu processo de rápida evolução: CryptoWall adotava o bitcoin como moeda padrão de resgate e passava a ser incluído em pacotes de exploits, alargando o número de vítimas que poderiam ser afetadas. Ele também empregava as APIs do próprio Windows para realizar a criptografia dos arquivos. Um império do crime com uma estrutura colossal foi utilizado para sustentar a operação e calcula-se que, em 2015, o CryptoWall tenha movimentado sozinho cerca de 325 milhões de dólares em resgates.

Tela de instruções do CryptoWall

Em 2015, a cena se profissionalizou ainda mais: surgiram os primeiros pacotes de RaaS, ou Ransomware-as-Service, onde qualquer um poderia adquirir uma ferramenta dessas no submundo com interfaces amigáveis, por um custo fixo mais um porcentual dos resgates obtidos.

Nesse mesmo ano apareceria o TeslaCrypt, um dos mais duradouros e sofisticados ransomwares no mercado, empregando chaves de criptografia de um nível jamais visto, integrado com kits de vulnerabilidade, comercializado como RaaS e com capacidades de persistência e resistência que iludiram os pesquisadores de segurança por um longo tempo. Mas os próprios autores se arrependeram de sua criação e soltaram a chave-mestra no mercado.

Em 2016, o Locky iniciaria uma das mais perturbadoras tendências no uso de ransomwares: o ataque a sistemas vitais de instituições médicas. Os cibercriminosos aprenderam que atacar hospitais era uma forma garantida de se obter um pagamento rápido e vítimas foram feitas em diversos hospitais norte-americanos e na Europa, em busca de um lucro fácil.

Tela de instruções do Locky

Esse mesmo ano também viu uma explosão no número de casos, uma prévia do que seriam as epidemias de 2017. Nesse ecossistema de caos, o Petya aumentava o grau da ameaça: o ransomware não apenas encriptava arquivos, mas comprometia o setor de Master Boot Record (MBR) do disco rígido e prometia dobrar o valor do resgate exigido se a vítima demorasse a pagar. Somente agora seu criador liberou a chave-mestra publicamente.

E o futuro?

A opinião dos especialistas é unânime: o cenário dos ransomwares ainda vai piorar muito antes de melhorar.

O ano de 2017 viu surgir duas epidemias que paralisaram empresas pelo mundo inteiro, as duas baseadas nas mesmas vulnerabilidades já corrigidas do Windows, o que sinaliza que a falta de cuidado por parte de usuários e administradores ainda é o calcanhar de Aquiles da segurança digital. O ataque do WannaCry (ou WannaCrypt) marcou também uma confluência até então inédita de fatores: uma vulnerabilidade jamais revelada conhecida da NSA, vazada para o público e empregada como forma de ataque. Se as suspeitas se confirmarem, o NotPetya também pode marcar o uso dos ransomwares como armas de ciberguerra e abrir caminho para um futuro ainda mais sombrio do que temos hoje.

Além disso, mesmo o cibercrime está se esforçando para tornar suas ferramentas mais elusivas. Já há ransomwares que empregam criptografia internamente, para dificultar ou mesmo impedir a análise do seu código-fonte por parte de analistas de segurança, enquanto outros não dependem mais de um servidor de comando e controle (o ponto vulnerável na cadeia) para operarem.

Por maior que tenham sido as epidemias que aconteceram até agora, ainda há espaço para uma praga pior.

Ransomware é a palavra mais difundida hoje no mundo de cyber segurança. Devido à pandemia mundial, esse malware tomou maior evidência.

Sim, Ransomware é um malware, talvez você não soubesse disso ou até mesmo tivesse dúvida sobre. A nomenclatura malware é utilizada para qualquer artefato malicioso, ou seja, qualquer código malicioso de computador.

Sim, já ouvi falarem que foi infectado por um malware, como se fosse uma categoria especifica de artefato malicioso, mas essa infecção pode ser: Tojan, Botnet, Ransomware, etc..

Já ouvi gente falar que teve o computador infectado por um malware, como se fosse uma categoria específica de artefato malicioso, mas essa infecção pode ser decorrente de trojan, botnet, Ransomware etc.

Bom, mas se todos falam de Ransomware, por que eu vim aqui? Na verdade, esse artigo tem a finalidade de apresentar uma linha do tempo deste malware específico, porque, apesar de ser bem difundido hoje, o nome Ransomware não é novo – existe desde 1989.

O primeiro Ransomware foi desenvolvido por um pesquisador de Harvard, em 1989, com o nome de AIDS e, já na época, pedia o valor de US$ 189 em troca do desbloqueio. O modus operandi do AIDS era de enganar o usuário, informando que uma licença de software havia vencido ou expirado.

Esse Ransomware não ficou famoso, porque o resgate em valor internacional atrapalhava bastante e, na época, para os que viveram kkk, computadores pessoais não eram tão acessíveis como hoje. As pessoas que tinham acesso à tecnologia eram basicamente cientistas, pesquisadores e outros profissionais.

Na época, também era mais fácil realizar engenharia reversa e descobrir os criadores dos malwares, e a criptografia mais utilizada era simétrica, facilitando a descoberta das chaves. O AIDS estava neste nível em seu desenvolvimento, e talvez por esses motivos esse Ransomware não foi utilizado em cibercrimes.

Mas, em 2005, começa definitivamente a era de Ransomware. Existem dois tipos: os bloqueadores e os criptos, mas isso vamos entendendo conforme formos estudando as variantes. Durante essas evoluções, houve também outros dois modelos de Ransomware, conhecidos como Aplicativos Enganosos e Antivírus Falsos.

Então, em 2005, abrindo a linha do tempo oficial, temos os Ransomware Aplicativos Enganosos. Trata-se de um software que, ao ser instalado, mostra ao usuário que existem muitos problemas em sua máquina e que é necessário pagar para realizar as correções (que, na verdade, não existem).

Em 2006, apareceu um muito curioso. Neste caso, já era um Ransomware que criptografava seus dados e pedia dinheiro para enviar a chave de descriptografia para recuperar. Na verdade, esse malware solicitava a compra de um medicamento por farmácia online – e a comissão pela venda era o valor do resgate. Por essa você não esperava, né?! Kkkk (nem eu, conheci quando estava pesquisando o tema).

Em 2008, seguindo a linha dos Aplicativos Enganosos, nasceram os Antivírus Falsos. Eles têm o mesmo modus operandi, no qual o aplicativo de antivírus mostra que a máquina está toda infectada e com sérios problemas, e pede o valor para realizar os ajustes necessários.

Podemos considerar que em 2008 tivemos a distribuição em massa dos Ransomwares. Foi aí que começou o uso de e-mails para encaminhar malwares.

Tivemos, no período de 2008 a 2011, o conhecido GPCode, que dizia ser uma candidatura de emprego. Tivemos o Winlock, conhecido também por Ransomlock, que bloqueava o computador do usuário e pedia o resgate para desbloquear.

Em 2011, acontece o primeiro ataque de Ransomware em larga escala. Este malware apresentava um aviso de ativação de um produto Windows. Ele também abriu a porta para as ideias de pagamento dos resgates não rastreados.

Em 2013, se torna mais difícil combater essas ameaças. O CryptoLocker ficou em evidência, usando o método de pagamento através de criptomoeda. Este malware era distribuído por sites maliciosos e, como não poderia ser diferente, também por campanhas de e-mails.

Em 2014, a situação já estava muito grave. Com os CryptoDefence, CryptoWall e Koler, deste ano em diante nem os celulares estavam mais seguros.

Em 2015, tivemos um crescimento dos malwares através do CryptoWall, porque, através de seu código fonte que evoluía a cada tentativa de tirada do ar, nasceram diversas variantes. Este Ransomware foi e ainda é o mais lucrativo no mercado de cibercrime.

Em 2016, não poderiam ficar de fora os ataques como serviços. Com o surgimento do Ransom32, a forma de ataque mudou bastante, já que este Ransomware utilizava Javascript, algo até então nunca visto. No mesmo ano, voltaram à tona os malwares que utilizavam macros dos pacotes Office, sendo o Locky o mais bem-sucedido neste método de exploração.

Ainda em 2016, nasceu um Ransomware bem poderoso, o Petya, que foi o primeiro a criptografar o disco rígido inteiro, impedido a sobrescrita da MBR (Master Boot Record).

Em 2017, os Ransomwares ficaram mundialmente famosos, com o famoso WannaCry. Deste ano em diante, eles vêm evoluindo e se reutilizando de códigos fontes de outros Ransomwares.

Em 2018, apesar de existir já há um tempo, ficou famoso o SamSam, que infectou a cidade de Atlanta. Também houve um episódio de dois blacks hats que foram acusados de utilizar o SamSam contra empresas no EUA e Canadá, incluindo hospitais e instituições públicas.

E, para fechar com chave de ouro, tivemos em 2019 o Ransomware Ryuk, que ficou famoso por ser o mais caro da história: o resgate chega a exceder US$ 300 mil. Segundo o FBI, este malware causou mais de US$ 60 milhões de prejuízo no mundo.

Já em 2020, ano de pandemia, todos esses Ransomwares tiveram atuações.

O que fazer nesta situação?

Minha dica é manter backup de tudo que for importante. E não falo somente de empresas – você mesmo, que usa seu notebook em casa. Mantenha um backup em disco físico se possível, que você mesmo precise conectar o cabo ao computador para ler as informações.

Ah, mas por que não na nuvem? Bom, se você se conecta todas a vezes para fazer o backup dos seus arquivos, ok. Mas se tem um agente em seu computador para sincronizar os arquivos com a nuvem, você vai acabar criptografando seus arquivos que estão em nuvem também. Pense nisso.

Cuidado com os e-mails e fique atento por onde navega na internet. Ahhh, muito importante, cuidado com as solicitações para ativar macros em documentos nos quais esse passo não faz sentido, como currículos, por exemplo.

Esse artigo foi para mostrar que o Ransomware é igual àquela banda de rock, que tocou por muito tempo em bares e ruas, mas em um momento conseguiu visibilidade e fez sucesso. Esse inimigo é antigo e, apesar de ter vindo à tona só agora, precisamos tomar muito cuidado com as variantes.

Relatório sobre ameaças de ransomware

Antes de ingressar na Palo Alto Networks, servi 35 anos nas Forças Armadas dos Estados Unidos e, nos últimos 10 anos, dediquei-me a atribuições relacionadas aos assuntos cibernéticos. Durante a minha gestão, pude ver em primeira mão como o ransomware era uma grande ameaça à segurança nacional – e ainda vemos isso hoje. O ransomware é uma das principais ameaças na segurança cibernética. De acordo com o Identity Theft Resource Center, houve 878 ataques cibernéticos em 2020, 18% dos quais foram registrados como ransomware.1 Esse tipo de ameaça é uma área de foco para a Palo Alto Networks. Nossas equipes de inteligência de ameaças globais da Unit 42 e de resposta a incidentes trabalharam em conjunto para criar o Relatório de ameaças de ransomware da Unit 42 de 2021 para fornecer as informações mais recentes sobre as principais variantes de ransomware, as tendências de pagamentos de resgate de ransomware e as melhores práticas de segurança para que possamos compreender e gerenciar melhor as nossas respostas às ameaças atuais. Simplificando: o ransomware é um negócio lucrativo. O resgate médio pago por organizações nos EUA, Canadá e Europa aumentou de US$ 115.123 em 2019 para US$ 312.493 em 2020 – um aumento de 171% de um ano para o outro. Com novas táticas, como a extorsão dupla, esse número só vai continuar a aumentar. Organizações em todo o mundo estão sendo reféns de ransomware, e muitas estão sendo forçadas a pagar os criminosos cibernéticos porque elas não estão equipadas para combater a ameaça por vários motivos, desde a falta de backups recuperáveis até o custo do tempo de inatividade, superando o custo de pagar o resgate. Precisamos reduzir significativamente esse empreendimento criminoso, e é por isso que estou orgulhoso de que a Palo Alto Networks seja membro da Ransomware Task Force (Força-tarefa de Ransomware - RTF) do Institute for Security and Technology, do qual atuo como copresidente. A RTF está focada no desenvolvimento de um conjunto de recomendações para uma estratégia abrangente de forma a mitigar as ameaças de ransomware. Para desenvolver um conjunto de soluções que atacará todos os aspectos do flagelo do ransomware, a RTF recrutou um grande e diversificado conjunto de especialistas que estão atualmente investigando uma ampla gama de recomendações – reconhecendo todo o bom trabalho que já foi feito nesse aspecto. Isso significa explorar questões como: • O que podemos fazer para preparar melhor as organizações contra um ataque de ransomware? • Como as organizações podem entender e responder melhor a um ataque de ransomware? • Quais são as maiores barreiras para a adoção da segurança de ransomware? • Como podemos tornar mais difícil para os agentes de ransomware realizar um ataque? • Como podemos tornar o resultado de um ataque de ransomware menos destrutivo? • Como podemos criar soluções personalizadas para as muitas vítimas diferentes de ataques de ransomware? À medida que essas discussões avançam, a força-tarefa visa fornecer recomendações claras e viáveis para os tomadores de decisão do setor público e privado internacionalmente no 2º trimestre de 2021. Acredito que recursos como o Relatório sobre ameaças de ransomware da Unit 42 de 2021 nos ajudarão nesse esforço de aprender tudo o que pudermos sobre esse tipo de ameaça, permitindo-nos trabalhar nos setores público e privado para reduzir de forma colaborativa o problema do ransomware a algo mais administrável do que a ameaça significativa que enfrentamos hoje. John Davis Major General aposentado do Exército dos EUA Vice-presidente do Setor Público na Palo Alto Networks

Perguntas mais feitas pelos usuários

A DataDecrypt pode garantir que vai descriptografar os meus arquivos?

Quanto tempo leva a descriptografia dos arquivos?

Quanto custa a descriptografia de arquivos infectados por vírus ransomware?

Os dados são muito sigilosos. A DataDecrypt oferece garantia de sigilo?

Posso formatar o computador para eliminar o vírus ransomware? É possível descriptografar os arquivos depois?

Preciso enviar o servidor ou os discos rígidos (HDs) para contratar o serviço de descriptografia de arquivos?

Sofremos ataque de vírus ransomware e os arquivos do servidor foram criptografados. O que fazer?

Os arquivos do meu servidor vão perder o nome ou estrutura de pastas?

Após o ataque do vírus o computador não entra mais no sistema operacional. Tem como recuperar os arquivos?

Ameaça é tão forte quanto o elo mais fraco das organizações

Para a maioria dos profissionais de TI, a ameaça de um ataque de ransomware é motivo para passar noites em claro. Organizações de todos os setores, públicas ou privadas, são vítimas em potencial, se não já vitimadas.

Na verdade, uma pesquisa recente da Veritas Technologies sugere que as organizações tiveram 2,57 ataques de ransomware que as levaram a um tempo de inatividade significativo nos últimos 12 meses, com 10% enfrentando um tempo de inatividade que impactou os negócios mais de cinco vezes.

Embora o ransomware possa causar sérios danos ao negócio e reputação das empresas, ele não é invencível. Na verdade, é tão forte quanto o elo mais fraco das organizações. A boa notícia é que há alguns passos que as empresas podem tomar para evitar serem alvos de crimes cibernéticos e diminuir a probabilidade de um ataque derrubar seus negócios.

Abaixo as 10 melhores práticas que podem ser implementadas para proteger dados e garantir a resiliência dos negócios:

1. Atualizações imediatas de sistemas e atualizações de software

O uso de software desatualizado pode permitir que invasores explorem vulnerabilidades de segurança absolutas. Para reduzir sua superfície de ataque, certifique-se de corrigir e atualizar com frequência toda a infraestrutura, sistemas operacionais e aplicativos de software. Também é importante atualizar seu aplicativo de backup. Não lute contra o ransomware de hoje com a tecnologia de ontem.

2. Faça backup com frequência e evite um único ponto de falha com a regra de backup 3-2-1

Se você fizer backup de seus dados, imagens do sistema e configurações com frequência, sempre terá um local atualizado para retomar as operações se o ransomware ocorrer. Melhor ainda, vá um passo adiante dispersando seus dados com a regra de backup 3-2-1 – mantendo três ou mais cópias em locais diferentes, usando duas mídias de armazenamento distintas e armazenando uma cópia fora do local. Isso reduzirá as chances de um invasor obter acesso a tudo.

Essa abordagem 3-2-1 também garante que uma vulnerabilidade em um não comprometa todas as suas cópias e oferece opções se um ataque destruir um data center inteiro. Muitas organizações estão agora dando mais um passo para o 3-2-1-1, mantendo pelo menos uma cópia no armazenamento imutável (não pode ser alterado) e indelével (não pode ser excluído).

3. Implemente o modelo e as políticas de confiança zero (zero trust)

O modelo de confiança zero é uma mentalidade que se concentra em não confiar em nenhum dispositivo – ou usuário – mesmo que estejam dentro da rede corporativa, por padrão. Em vez de apenas uma senha (sim, mesmo que seja longa e complicada), também exija autenticação multifator (MFA) e controle de acesso baseado em função (RBAC), monitore e mitigue atividades maliciosas e criptografe dados em trânsito e em repouso, o que torna os dados exfiltrados inutilizáveis. Garante o compartilhamento alto e aberto que você nunca deve usar senhas de fábrica em nenhum lugar.

Além disso, se você limitar o acesso a backups, acabará com o método de entrada mais comum para ransomware. Muitas organizações estão adotando uma prática de segurança just-in-time (JIT), em que o acesso é concedido conforme a necessidade ou por um período predeterminado, o que é algo a ser considerado para dados cruciais e críticos de negócios.

4. Segmentação de rede

Os invasores adoram uma única rede contínua. Isso significa que eles podem se espalhar por toda a sua infraestrutura com facilidade. Uma maneira eficaz de parar os invasores e reduzir significativamente sua superfície de ataque é com segmentação de rede e microssegmentação. Com esse modelo, as redes são divididas em várias zonas de redes menores e o acesso é gerenciado e limitado, especialmente aos seus dados mais importantes.

Também é uma prática recomendada comum manter as funções de infraestrutura mais vitais fora da web. Além disso, como parte do modelo de confiança zero de sua empresa, considere segmentar fornecedores terceirizados, pois houve muitos ataques notáveis ​​às cadeias de suprimentos resultantes da má gestão do fornecedor.

5. Visibilidade do endpoint

A maioria das organizações tem uma grave falta de visibilidade em endpoints remotos. Agora, tornou-se uma prática comum os maus atores passarem pela segurança da linha de frente e saírem, permanecendo inativos o tempo suficiente para localizar pontos fracos e encontrar o momento oportuno para atacar.

É vital que você implemente ferramentas que forneçam visibilidade completa em todo o seu ambiente, detectem anomalias e procurem e alertem você sobre atividades maliciosas em sua rede, não dando ao ransomware nenhum lugar para se esconder. Isso ajudará você a mitigar ameaças e vulnerabilidades antes que os maus atores tenham a oportunidade de agir.

6. Armazenamento imutável e indelével

Uma das melhores maneiras de proteger seus dados contra ransomware é implementar um armazenamento imutável e indelével, que garante que os dados não possam ser alterados — criptografados ou excluídos — por um determinado período. No entanto, o termo armazenamento imutável tornou-se uma palavra da moda entre os fornecedores de backup nos dias de hoje. Procure por imutabilidade que não seja apenas lógica, mas também inclua imutabilidade física, e é importante incluir camadas de segurança integradas.

A indústria está se movendo em direção a dois tipos de imutabilidade. Na Veritas, nós os chamamos de Modo Empresarial e Modo de Conformidade. O Modo Empresarial é conhecido como uma abordagem de “quatro olhos”, o que significa que você precisa de dois pares de olhos para validar qualquer alteração.

Por exemplo, o primeiro par de olhos é do administrador de backup, e o segundo par de olhos é do administrador de segurança. Sem a aprovação de ambos, nenhuma alteração é possível. O Modo de Conformidade refere-se à imutabilidade inalterável, que são dados que não podem ser alterados em nenhuma circunstância.

Ambos os modos incluem um Relógio de Conformidade que é completamente independente do SO para que, se o relógio do SO for falsificado, não afete a liberação dos dados.

7. Recuperação rápida

A maioria dos invasores de ransomware espera duas coisas: tempo para o ataque se espalhar e dinheiro (de você) para fazê-lo parar. Historicamente, a recuperação pode levar semanas ou até meses, pois era um processo extremamente manual e trabalhoso que se estendia por várias partes interessadas em uma organização.

Agora, a recuperação pode ser orquestrada e automatizada com opções flexíveis e alternativas, como instalar rapidamente um data center em um provedor de nuvem pública, que pode reduzir o tempo de inatividade e fornecer alternativas ao pagamento de resgate. Com os sistemas corretos, os tempos de recuperação podem ser reduzidos para segundos, se necessário.

8. Teste e validação regulares

Criar um plano abrangente de proteção de dados não significa que seu trabalho está concluído. O teste garante que seu plano funcione quando você precisar. E embora o teste inicial possa confirmar que todos os aspectos do plano realmente funcionam, é fundamental testar regularmente porque os ambientes de TI estão constantemente em fluxo.

É importante ressaltar que qualquer plano é tão bom quanto a última vez que foi testado e, se você não testar, não há garantia de que você possa se recuperar rapidamente! Também é vital implementar soluções que testem um ambiente de recuperação ou sandbox isolado e sem interrupções.

9. Funcionários treinados

É do conhecimento geral que os funcionários geralmente são a porta de entrada para um ataque. Não culpe seus funcionários – erros acontecem. Ataques de phishing modernos e engenharia social agora são tão avançados que muitas vezes enganam os profissionais de segurança.

Em vez disso, concentre-se em treinar funcionários para identificar táticas de phishing e engenharia social; construir senhas fortes; navegar com segurança; utilizar MFA; e sempre use VPNs seguras, nunca Wi-Fi público. Certifique-se também de que os funcionários saibam o que fazer e a quem alertar se forem vítimas.

10. Manuais de ataque cibernético

Imagine se todos em sua organização soubessem exatamente o que fazer e quando enfrentar um ataque de ransomware. Isso não é impossível se você criar um manual de ataque cibernético padrão que esclareça as funções e alinhe e capacite equipes multifuncionais com caminhos de comunicação claros e protocolos de resposta em caso de emergências.

Um ótimo conselho é configurar um canal de comunicação de emergência em um aplicativo de mensagens de texto seguro para que a liderança sênior de sua organização se comunique no caso de um ataque cibernético, pois os sistemas de e-mail ou bate-papo da empresa também podem ser desativados como resultado do ataque. Também é uma ótima ideia contratar uma agência terceirizada para auditar a estratégia de sua equipe e verificar seu trabalho.

Você tem o poder de tomar medidas importantes para combater o ransomware e virar a mesa contra os cibercriminosos. Ao reunir uma estratégia de resiliência de ransomware em várias camadas que inclui as melhores práticas acima e uma higiene de segurança cibernética impecável, você pode impedir os invasores antes que eles ganhem uma posição.

• Fonte: Administradores.com.br – Gustavo Leite, country manager para o Brasil da Veritas

• Imagem: Freepik

• 31 de maio de 2022

A saga do ransomware

Ransomware, outrora representados como quase inofensivos, atingiram a maioridade e tem de ser levados a sério.

• Leonid Grustniy

• 9 abr 2021

Se você segue as notícias relacionadas a segurança da informação, provavelmente já ouviu falar muito sobre ransomware nos últimos anos. Pode até ter tido a infelicidade de receber um ataque. Talvez não seja exagero descrever o ransomware como o malware mais perigoso de nosso tempo.

Mas sabia que esses programas maliciosos existem há mais de 30 anos e que os pesquisadores previram muitos recursos dos ataques modernos em meados da década de 1990? Você quer saber por que os criptógrafos substituíram os bloqueadores, qual foi o maior resgate pago da história e o que a AIDS tem a ver com tudo isso?

Compilamos uma história de ransomware com as respostas para essas e muitas outras perguntas. Vamos rastrear o desenvolvimento de bloqueadores, criptografadores, wipers e outras coisas desagradáveis vindas do ransomware nas últimas décadas.

Dicionário de ransomware

Os termos a seguir aparecem com frequência no texto.

Criptografia — ciência de impedir que estranhos leiam informações confidenciais. A codificação é um aspecto da criptografia.

Criptografia simétrica — método de criptografia de dados em que uma chave é usada para criptografar e descriptografar as informações.

Criptografia assimétrica — método de criptografia de dados que envolve o uso de duas chaves: uma pública para criptografar as informações e uma privada para descriptografá-las. Saber a chave pública não ajuda na descriptografia; que requer a privada.

RSA —algoritmo de criptografia assimétrica comumente usado.

Ransomware —qualquer programa malicioso que força a vítima a pagar um resgate ao atacante. O ransomware inclui blockers, cryptors e wipers disfarçados de cryptors.

Blocker (bloqueador) — tipo de ransomware que bloqueia ou simula o bloqueio de um computador ou dispositivo móvel. Esse malware normalmente mostra uma mensagem persistente com uma solicitação de pagamento no topo de todas as outras janelas.

Cryptomalware (cryptor ou criptografadores) — um tipo de ransomware que criptografa os arquivos do usuário para que não possam ser usados.

Wiper (limpador) — tipo de malware projetado para limpar (apagar) dados do dispositivo da vítima. Às vezes, o ransomware que simula um criptografador acaba sendo um limpador, danificando arquivos de forma irreparável; então, mesmo que o resgate seja pago, é impossível recuperar os dados.

RaaS (Ransomware-as-a-Service) — esquema criminoso em que os criadores alugam ransomware para qualquer pessoa que queira distribuí-lo por uma parte dos lucros. É uma espécie de franquia do cibercrime.

1989: O primeiro ataque de ransomware

Joseph L. Popp, biólogo pesquisador, criou o primeiro cryptor conhecido. Popp tirou proveito do amplo interesse pela AIDS; portanto, seu malware ficou conhecido como o Trojan AIDS.

Naquela época, a Internet ainda estava em sua infância, então Popp usou um método de entrega altamente original (para os padrões modernos). Tendo em mãos listas de mala direta de assinantes da conferência da OMS sobre AIDS e da revista PC Business World, enviou às vítimas um disquete com um adesivo dizendo “Disquete introdutório de informações sobre AIDS” junto com instruções detalhadas para a instalação do programa. O contrato de licença dizia que, ao instalar o programa, o usuário concordou em pagar à empresa U$ 378. Mas quem leva essas coisas a sério?

Na verdade, o instalador serviu para entregar o malware ao disco rígido. Depois de um certo número de inicializações do sistema, o Trojan AIDS tornou-se ativo, criptografando nomes de arquivos (incluindo extensões) na unidade C: do computador infectado. Os nomes se transformaram em uma confusão de caracteres aleatórios, tornando impossível trabalhar normalmente com os arquivos. Por exemplo, para abrir ou executar um arquivo, primeiro era necessário descobrir qual extensão ele deveria ter e alterá-la manualmente.

Ao mesmo tempo, o malware exibia uma mensagem na tela, dizendo que o teste do software havia acabado e o usuário deveria pagar uma taxa de assinatura: U$ 189 por um ano ou U$ 378 pelo acesso vitalício. O dinheiro seria transferido para uma conta no Panamá.

O malware usava criptografia simétrica, portanto, a chave para recuperar os arquivos estava contida diretamente no código. Logo, o problema era relativamente fácil de resolver: encontrar a chave, excluir o malware e usar a chave para recuperar os nomes dos arquivos. Em janeiro de 1990, o consultor editorial do Virus Bulletin , Jim Bates, criou os programas AIDSOUT e CLEARAID para fazer exatamente isso.

Joseph Popp foi preso, mas o tribunal o considerou mentalmente incapaz de ser julgado. No entanto, ele publicou o livro Evolução popular: Lições de vida da antropologia uma década depois.

1995–2004: Young, Yung e o ransomware do futuro

Talvez porque o Trojan AIDS não tenha enriquecido seu criador, a ideia de criptografar dados para fins de resgate não gerou muito entusiasmo entre os golpistas da época. O interesse voltou apenas em 1995 e na comunidade científica.

Os criptógrafos Adam Young e Moti Yung se empenharam a aprender como seria o vírus de computador mais poderoso. Eles criaram o conceito de ransomware que usa criptografia assimétrica.

Em vez de usar uma chave, que teria de ser adicionada ao código do programa, para criptografar os arquivos, seu modelo usava duas, pública e privada, que mantinham a chave de descriptografia em segredo. Além disso, Young e Yung levantaram a hipótese de que a vítima teria que pagar com dinheiro eletrônico, que ainda não existia.

Os profetas da cibersegurança apresentaram seus pensamentos na conferência IEEE Security and Privacy em 1996, mas não foram bem recebidos. Então, 2004 veio ao mundo a publicação de Criptografia Maliciosa: Expondo Criptovirologia , em que Young e Yung sistematizaram os resultados de suas pesquisas.

2007–2010: Os anos dourados dos bloqueadores

Enquanto o criptomalware estava ganhando tempo, o mundo viu o surgimento de outro tipo de ransomware: bloqueadores. Esse tipo bastante primitivo de malware interferia no funcionamento normal do sistema operacional, adicionando-se à rotina de inicialização do Windows. Além disso, para impedir a exclusão, muitos tipos bloquearam o editor de registro e o gerenciador de tarefas.

Esse tipo de malware usava diversas maneiras de impedir que as vítimas usassem seus computadores, desde uma janela que não fechava até uma mudança no papel de parede da área de trabalho. Um método de pagamento era por mensagem de texto para um número premium.

A neutralização de bloqueadores de ransomware geralmente não requer um programa antivírus, mas sim um bom conhecimento por parte do usuário. Para remover o malware manualmente, era necessário, por exemplo, inicializar o sistema a partir de um Live ou CD de recuperação, iniciar no modo de segurança ou fazer login no Windows com um perfil diferente.

No entanto, a facilidade de escrever esses cavalos de Tróia compensa o risco relativamente baixo. Praticamente qualquer pessoa poderia distribuí-los. Havia até geradores automáticos.

Às vezes, o malware colocava um banner pornográfico na área de trabalho e alegava que a vítima tinha visto conteúdo proibido (tática usada ainda hoje). Com o pedido de resgate administrável, muitos preferiram não procurar ajuda, mas simplesmente pagar.

2010: Cryptomalware com criptografia assimétrica

Em 2011, os desenvolvedores de criptomalware melhoraram seus esquemas consideravelmente e, como Yung e Young previram, começaram a usar criptografia assimétrica. Uma modificação do criptografador GpCode, por exemplo, foi baseada no algoritmo RSA.

2013: Ransomware híbrido CryptoLocker

O final de 2013 ficou marcado com o aparecimento de um ransomware híbrido combinando um bloqueador com criptomalware. O conceito aumentou as chances dos cibercriminosos de receberem o pagamento, porque mesmo a remoção do malware e, portanto, a remoção do bloqueio, não restaura o acesso das vítimas aos seus arquivos. Talvez o mais famoso desses híbridos seja o CryptoLocker. Esse malware foi distribuído em e-mails de spam e os cibercriminosos por trás dele aceitaram o pagamento de resgate em Bitcoin.

2015: Criptografadores substituem bloqueadores

Em 2015, a Kaspersky observou um número crescente de tentativas de infecção de criptomalware, com o número de ataques crescendo a um fator de 5,5. Os criptografadores começaram a substituir os bloqueadores.

Os criptografadores prevaleceram por vários motivos. Primeiro, os dados do usuário são significativamente mais valiosos do que os arquivos e aplicativos do sistema, que sempre podem ser reinstalados. Com a criptografia, os cibercriminosos poderiam exigir resgates significativamente mais elevados – e teriam uma chance maior de serem pagos.

Em segundo lugar, em 2015, as criptomoedas já eram amplamente utilizadas para transferências anônimas de dinheiro, de modo que os invasores não tinham mais medo de serem rastreados. Bitcoin e outras criptomoedas tornaram possível receber grandes resgates sem aparecer no radar.

2016: Ransomware em massa

O ransomware continuou a crescer como uma erva daninha na cibersegurança e 2016 viu um aumento de onze vezes no número de modificações, com o resgate médio variando de 0,5 a centenas de bitcoins (que valiam uma fração do preço de hoje). O foco principal dos ataques mudou do usuário individual para o setor corporativo, levando justificadamente a falar sobre o surgimento de uma nova indústria do crime.

Os cibercriminosos não precisavam mais desenvolver malware por conta própria; eles poderiam simplesmente comprá-lo na prateleira. Por exemplo, uma “licença vitalícia” para o ransomware Stampado foi colocada à venda. O malware ameaça excluir arquivos aleatórios após um certo período de tempo para assustar as vítimas e fazê-las pagar o resgate.

O ransomware também se tornou disponível no modelo RaaS (Ransomware-as-a-Service), um termo que surgiu com o aparecimento do Encryptor RaaS. O modelo ajudou-o a se espalhar ainda mais amplamente.

Os criminosos começaram a visar organizações governamentais e municipais, além de empresas e usuários domésticos. O HDDCryptor, que infectou mais de 2.000 computadores da Agência Municipal de Transporte de São Francisco, serve como um excelente exemplo. Os cibercriminosos exigiram 100 BTC (então cerca de U$ 70 mil) para restaurar os sistemas, mas o departamento de TI da agência conseguiu resolver o problema sozinho.

2016–2017: Petya, NotPetya e WannaCry

Em abril de 2016, um novo malware chamado Petya apareceu. Enquanto os criptografadores anteriores haviam deixado os sistemas operacionais intactos para permitir que as vítimas pagassem o resgate, o Petya bloqueia completamente as máquinas infectadas; tem como alvo o MFT (Master File Table) – um banco de dados que armazena toda a estrutura de arquivos e pastas no disco rígido.

Por mais destrutivo que fosse, o mecanismo de penetração e distribuição de Petya era difícil. Para ativá-lo, a vítima precisava baixar e executar manualmente um arquivo executável, o que tornava a infecção menos provável. Na verdade, ele poderia não ter feito muita diferença se não fosse por outro ransomware – o apropriadamente denominado WannaCry.

Em maio de 2017, o WannaCry infectou mais de 500 mil dispositivos em todo o mundo, causando U$ 4 bilhões em danos. Como? Bom, incorporando o exploit EternalBlue, que aproveitou algumas vulnerabilidades muito perigosas do Windows. O Trojan se infiltrou nas redes e instalou o WannaCry nos computadores das vítimas. O malware então continuou, se espalhando para outros dispositivos na rede local. Dentro dos sistemas infectados, o WannaCry se comportava normalmente, criptografando arquivos e exigindo resgate.

Menos de dois meses após o surto de WannaCry, outro criptografador apareceu, também modificado para EternalBlue: NotPetya, também conhecido como ExPetr. O NotPetya devorou discos rígidos inteiros.

Além disso, NotPetya criptografou a tabela de arquivos de forma a excluir a descriptografia mesmo após o pagamento do resgate. Como resultado, os especialistas concluíram que era na verdade um limpador disfarçado de criptografador. O dano total ultrapassou U$ 10 bilhões.

O ataque WannaCry foi tão devastador que a Microsoft lançou um patch urgente para sistemas operacionais que nem tinham mais suporte. As atualizações para os sistemas suportados já estavam disponíveis muito antes de ambas as epidemias, mas nem todos os instalaram, permitindo que esses dois ransomware permanecessem por um longo tempo.

2017: Um milhão de dólares para descriptografar

Além dos prejuízos sem precedentes, outro recorde foi estabelecido em 2017, para o maior resgate conhecido de uma única organização. O provedor sul-coreano Nayana concordou em pagar U$ 1 milhão (20% do valor original) para desbloquear computadores infectados com o Erebus.

O que mais surpreendeu a comunidade de especialistas foi que a empresa anunciou publicamente o pagamento. A maioria das vítimas prefere não falar.

2018–2019: uma ameaça à sociedade

Os últimos anos são notáveis por ataques maciços de ransomware a utilitários e instalações da comunidade. Transporte, água, energia e instituições de saúde se encontravam cada vez mais em risco. Os cibercriminosos esperavam que eles pagassem também; mesmo com pedidos de resgate muito grandes, apagões de energia significariam deixar milhares ou milhões de pessoas em apuros.

Em 2018, por exemplo, um ataque de criptomalware no Aeroporto de Bristol, no Reino Unido, interrompeu as telas de exibição de voos por dois dias. A equipe recorreu ao uso de quadros brancos e, para crédito do aeroporto, sua resposta ao ataque foi rápida e eficaz. Pelo que sabemos, nenhum voo foi cancelado e nenhum resgate foi pago.

A Hancock Health, uma clínica americana, não se saiu tão bem assim, pagando 4 BTC (aproximadamente U$ 55 mil, na época) depois que o ransomware SamSam atingiu seus sistemas. Explicando a decisão da empresa de pagar o resgate, o CEO Steve Long citou uma tempestade de neve que se aproximava, juntamente com uma das piores temporadas de gripe. A clínica simplesmente não tinha tempo para restaurar seus computadores de forma independente.

Ao todo, mais de 170 agências municipais nos Estados Unidos foram vítimas de ransomware em 2019, com pedidos de resgate chegando a U$ 5 milhões. Atualizar os sistemas operacionais nessas organizações pode ser difícil, portanto, os cibercriminosos costumam usar vulnerabilidades antigas – e, portanto, mais acessíveis.

2020: Escala crescente e extorsão por meio de ameaças de vazamento de dados

Além da crescente escala de infecção, bem como das consequências e montantes de resgate, 2020 foi marcado por uma nova abordagem híbrida que viu o ransomware, antes de criptografar os dados, enviá-los aos operadores cibercriminosos. Seguidas por ameaças de vazamento de informações para concorrentes ou publicação. Dada a hipersensibilidade em relação aos dados pessoais hoje em dia, isso pode ser fatal para uma empresa. A tática foi dominada pela primeira vez pelo grupo Maze em 2019, mas em 2020 tornou-se uma tendência genuína.

A rede de cirurgia estética Transform Hospital Group foi vítima de um dos incidentes mais importantes de 2020. O grupo de hackers REvil criptografou e roubou 900GB de dados da Transform, incluindo fotos pré e pós-operação de pacientes, que os atacantes ameaçaram publicar.

Além disso, os criminosos por trás de criptomalware adotaram uma série de novas táticas em 2020. Por exemplo, o grupo REvil começou a leiloar informações roubadas. Os cibercriminosos também se uniram em organizações do tipo cartel. O primeiro foi o grupo Maze, que começou a postar informações roubadas pelo criptografador LockBit. De acordo com os cibercriminosos, agora estão trabalhando em estreita colaboração com a LockBit, fornecendo sua plataforma para vazamento de dados e compartilhando seu conhecimento.

Eles também se gabaram de que outro grupo notável logo se juntaria ao cartel: RagnarLocker, um pioneiro na organização de ataques DDoS aos recursos das vítimas como um holofote adicional sobre as empresas que extorquiam.

Conclusão

Em um período de três décadas, o ransomware evoluiu de um brinquedo relativamente inofensivo para uma séria ameaça aos usuários de todas as plataformas e, especialmente, às empresas. Para se proteger contra ataques, certifique-se de observar algumas regras de segurança – e se de alguma forma, uma invasão for bem-sucedida, é importante buscar ajuda de especialistas e não simplesmente obedecer às ordens dos cibercriminosos.

A "Anatomia"​ de um ataque ransomware e como se precaver!

• Publicado em 8 de julho de 2021

Roberto Orlando Ferrão Almeida, em Junho de 2021

ROBERTO Orlando Ferrão ALMEIDA

Executivo de Inovação e Novos Negócios - Especialista em estratégias de Marketing e Vendas, Energia, Telecom, 5G, AI, IOT - Certified Agile, Black Belt, SAP, Supply Chain, B2B2C (+50 TOP5% e TOP15% LinkedIn).

27 artigos Seguindo

O Brasil é o nono país que mais sofreu ataques de ransomware em 2020 (mais de 3.800.000 ataques desse tipo), ficando atrás dos EUA, África do Sul, Itália, Reino Unido, Bélgica, México, Holanda e Canadá. Ficou assustado? Calma, a situação é muito pior que você imagina. Imagine uma usina nuclear refém de um ataque ransomware. Já aconteceu no Brasil. O Superior Tribunal de Justiça STJ. já ficou refém. Bancos? Claro. O banco da Amazônia é um deles. Ficaria aqui um dia inteiro descrevendo quem já foi vitima desse tipo de ataque no Brasil. O ultimo ataque a uma grande empresa brasileira foi à JBS nos últimos dias de Maio deste ano 2021.

Segundo comentários na deep web, os próximos alvos no Brasil são uma grande fabricante de bebidas, um grande banco digital e uma startup de marketplace. Sabe quais as chances deles escaparem neste momento? 0%. E a razão é simples:, não estão preparados.

O ransomware teve 62% de aumento no mundo todo, um volume recorde de eficácia desse tipo de ataque. Enquanto malware focado em IoT cresce 66%, na América do Sul o crescimento foi de 17%. Mas por que tanta exposição? Porque falta investimento em equipamentos e principalmente em mão de obra qualificada. Eu recebo constante solicitação de consultoria para países asiáticos e percebo uma preocupação muito maior do que no Brasil e América do Sul.

A "Anatomia" de um ataque ransomware!

INTRODUÇÃO

A maioria dos malwares é silenciosa ou pelo menos aparentemente silenciosa. Eles se escondem nas profundezas das máquinas infectadas para executar furtivamente sua missão. A comunicação com o mundo exterior, a fim de receber comandos ou enviar dados roubados, geralmente fica oculta. A razão para este comportamento discreto é simples: , para evitar a detecção pelos usuários e seus controles de segurança, ganhando tempo para roubar credenciais, filtrar dados ou comprometer sistemas adicionais. Este não é o caso do ransomware. Uma das diferenças mais gritantes entre malware e ransomware típicos é que o segundo termina sua atividade; ele anuncia sua presença ao usuário. Ele faz isso porque já pegou a máquina e os arquivos a vítima refém e quer exigir resgate em troca da devolução desses bens. O ransomware também é altamente automatizado, de forma que, além do “estágio de distribuição”, a maior parte do processo de ransomware é executado de forma autônoma, sem a necessidade de comunicação com um C2 (comando e controle) para receber instruções. Em vez disso, os executáveis de ransomware contêm toda a lógica necessária para sequestrar um computador.Para agravar ainda mais o problema, o ransomware só recentemente começou a ter como alvo as corporações, o que significa que a maioria dos analistas de segurança ainda não tiveram a oportunidade de observar como o ransomware se comporta em ambientes corporativos. Isso torna difícil para os analistas detectar o ransomware no início do ciclo de vida para interrompê-lo. Os analistas deveriam ser capazes de reagir mais rapidamente caso sua organização seja atingida por uma infecção de ransomware mas isso não ocorre. Por que? Por falta de preparo principalmente.

DEFININDO A CADEIA DE ATAQUE DO RANSOMWARE

Existem seis estágios que montam a "cadeia de eliminação de ransomware". Esses seis estágios são onipresentes em todas as cepas e consistentes em face de permutações ou melhorias para qualquer cepa específica. Os principais estágios da cadeia de eliminação de ransomware são os seguintes:

1. Campanha de distribuição - os invasores usam técnicas como rede social e sites com armadilhas para enganar ou forçar os usuários a baixarem um código que inicia a infecção.

2. Infecção de código malicioso - o dropper baixa um executável que instala o próprio ransomware.

3. Teste de carga útil malicioso - o ransomware é configurado, se incorpora a um sistema e estabelece persistência para se manter além de uma reinicialização.

4. Varredura - o ransomware procura conteúdo para criptografar, tanto no computador local quanto nos recursos acessíveis de toda a rede.

5. Criptografia - os arquivos descobertos são criptografados.

6. Dia do pagamento - uma nota de resgate é gerada, mostrada à vítima, e o hacker espera para cobrar o resgate.

UMA OLHADA DETALHADA NO NEGÓCIO DE RANSOMWARE

Semelhante a negócios mais tradicionais (e legítimos), os operadores de ransomware estão constantemente evoluindo suas redes e procurando otimizar seus negócios. A montagem de uma operação de ransomware é composta por três tarefas distintas:

Criação e hospedagem de software, distribuição e coleta de resgate. Com base em quem é responsável por cada uma destas etapas, notamos três modelos operacionais comuns que são empregados pela grande maioria das redes de resgate. Curiosamente, esses modelos são muito semelhantes aos usados no mundo do software B2B. Com modelos de negócios claramente definidos, uma ampla gama de alvos e diferentes funções e pagamentos que correspondem a vários níveis de habilidade técnica. Ingressar em uma operação de ransomware é uma opção atraente para os criminosos cibernéticos em potencial. Na seção a seguir, este artigo explorará os três modelos de operações mais comuns para redes de ransomware.

MODELO 1: NEGÓCIO VERTICALMENTE INTEGRADO

A integração vertical, ou o controle de uma cadeia de suprimentos de ponta a ponta por uma única empresa, não é nenhuma novidade em tecnologia. Com empresas como a Apple provando o quão lucrativo pode ser possuir operações em sua totalidade, não é surpresa que muitas redes de ransomware também selecionaram isso como um método de negócios comum. Neste modelo, o hacker ou grupo de hackers são responsáveis por toda a operação do ransomware. Eles são os desenvolvedores de software de ransomware. Responsáveis por hospedar esse ransomware e seus droppers associados, eles devem gerenciar seus métodos de distribuição (spam, capturando, sites, etc.), e também coletar o resgate. Usando esse modelo, os grupos de hackers conseguem reter 100% dos lucros de seu ransomware. No entanto, gerenciar todos os aspectos da operação cria uma grande barreira de entrada para grupos de hackers, uma vez que o grupo precisará de pessoas talentosas para realizar cada etapa da campanha. A imagem abaixo fornece um exemplo de como pode ser uma operação de ransomware integrada verticalmente.

MODELO 2: ESTABELECENDO UM CANAL DE REVENDA COM GRUPOS DE AFILIADOS

Embora crucial para alcançar escala, a tarefa de distribuição de ransomware é particularmente difícil. O sucesso depende da criação e execução de campanhas de spam bem elaboradas ou com armadilhas em sites populares com downloads drive-by que infectam as máquinas das vítimas. Essas tarefas vêm com um risco maior de detecção e exigem muito mais esforço do que desenvolver o próprio ransomware. Por esse motivo, é comum que grupos de hackers terceirizem a distribuição de seu ransomware para grupos especializados em distribuição. Esses grupos de distribuição funcionam de maneira muito semelhante aos canais de distribuição usados para vender software corporativo. Interessado as partes se inscrevem por meio de um programa de afiliação que paga margens pré-determinadas sobre resgates concluídos que resultam dos esforços de distribuição dessa afiliada. Pagamentos para grupos de distribuição geralmente variam entre 50% a 75% do resgate obtido da vítima. Veja abaixo uma tela de chat de oferta de rede de afiliação de ransomware em um mercado dark web:

Com um relacionamento de afiliado estabelecido, o software ainda é desenvolvido e hospedado pelo grupo de hackers, e o resgate é coletado pelo grupo de hackers, mas a distribuição é completamente controlada pelo grupo de distribuição. A imagem abaixo ilustra um exemplo de como funciona um modelo de distribuição.

Muitas redes de ransomware chegam a exigir o pagamento de "taxas de integração de afiliados" para novos afiliados que chegam para se juntar à sua rede. Essas taxas de associação única geralmente variam de $ 500 a $ 1500-USD. A natureza chave-na-mão desses programas de afiliados deram a este modelo o apelido de RaaS (Ransomware as a Service).

MODELO 3: RANSOMWARE “PROVEDORES DE SERVIÇOS GERENCIADOS”

O terceiro e último modelo que observamos é mais análogo ao modelo de Provedor de Serviços Gerenciados de uma empresa no mundo do software, onde os provedores de serviços compram produtos de fornecedores e os transformam em serviços que eles vendem para sua base de clientes. Neste modelo, um grupo de distribuição adquire software de ransomware diretamente do grupo de hackers por uma taxa de licença que varia entre $ 1.000 a $ 100.000 USD. Depois que um grupo de distribuição adquire o software necessário, ele é responsável por todos os aspectos da operação do ransomware, incluindo hospedagem, distribuição e coleta de resgate. Aproveitando este modelo, eles ganham 100% do resgate que recolherem. A ilustração abaixo mostra as responsabilidades e margens para grupos de distribuição que compram software ransomware de um grupo de hackers:

O NEGÓCIO DO RANSOMWARE: PREÇOS E O PAGAMENTO

Uma tendência recente no panorama do ransomware que observamos durante o curso de nossa pesquisa foi um aumento no preço de resgates. Há alguns meses, o resgate médio para uma máquina infectada era de cerca de 0,5 a1,25 Bitcoins (BTC), que era o equivalente a aproximadamente R$ 86.369,06 a R$215.922,64 reais no momento em que escrevo. No entanto, com o sucesso do ransomware, os preços de resgate parecem estar aumentando. Por exemplo, notei que o resgate exigido por Cerber, um ransomware popular, subiu de uma média de 1,25 BTC para 2 BTC; e Locky passou de 0,5 BTC para 5 BTC durante o mesmo prazo. É importante ressaltar que os valores do resgate variam de campanha para campanha, e de tensão para cepa.

O ímpeto para o aumento de preços também pode ter suas raízes em outra mudança fundamental no cenário do ransomware, uma mudança nos alvos. Cada vez mais, os desenvolvedores de ransomware estão criando ferramentas mais complexas com recursos projetados para almejar empresas e ambientes altamente conectados em vez de indivíduos. Esses recursos incluem digitalização em rede e criptografia de unidade compartilhada. Com as empresas como alvos, os dados mantidos como reféns tendem a ser mais valiosos, e o fato de que as empresas geralmente têm bolsos mais fundos do que os indivíduos, significa que são mais propensas a pagar resgates, mesmo que com um preço bem mais alto. Outro aspecto importante do preço do ransomware é a pontualidade do pagamento. Uma característica comum de muitos ransomware é a capacidade de se tornarem mais agressivos se os termos de pagamento não forem cumpridos dentro do período de pagamento pré-determinado. Para muitos hackers de ransomware, isso resulta em um grande multiplicador sendo aplicado ao resgate. Já vi coisa de um múltiplo de 2x a 10x sendo adicionado aos pedidos de resgate por atrasos.

DISSECTANDO A CADEIA DE MATANÇA: ATIVIDADE E ARTEFATOS

Após uma análise cuidadosa de todos os 372 espécimes de ransomware, encontramos uma quantidade surpreendente de semelhanças em seu comportamento. Em última análise, porque essas linhagens compartilham um objetivo comum de exigir resgate, as atividades que devem realizar para alcançar este objetivo é o mesmo. Montei a seguinte Cadeia de eliminação de ransomware a partir dos seis estágios que são compartilhados por todas as cepas de ransomware:

CAMPANHA DE DISTRIBUIÇÃO

O primeiro estágio na cadeia de destruição é a distribuição do software de instalação para vítimas em potencial. Durante a campanha de distribuição, os usuários são enganados ou forçados a baixar e ativar um conta-gotas ou carga maliciosa por e-mail, um ataque watering-hole, um kit de exploração ou um drive-by-download. Este conta-gotas é responsável por iniciar a infecção.

INFECÇÃO

Uma vez na máquina da vítima, o conta-gotas liga para casa para baixar um .exe ou outro executável camuflado por conectando-se a uma lista predefinida de endereços IP que hospedam o servidor C2, ou usando DGA para conectar via pseudo-aleatório domínios. A partir deste ponto, o dropper geralmente copia o executável malicioso para um diretório local, como uma pasta temp ou % AppData% / local / temp. Finalmente, o script dropper é encerrado, removido e a carga maliciosa é executada.

STAGING

Durante a fase de teste, o ransomware executa vários itens de manutenção para garantir um funcionamento suave, como movendo-se para uma nova pasta e dissolvendo-se, verificando a configuração local e as chaves de registro para vários direitos, como configurações de proxy, privilégios de usuário, acessibilidade e outras informações potencialmente significativas. O ransomware também executa várias etapas de persistência no sistema, como executar na inicialização, executar quando no modo de recuperação, desativar o modo de recuperação, etc. Finalmente, ele usa vários comandos para excluir cópias de sombra dos arquivos do sistema. O ransomware também se comunica com o C2 nesta fase para obter a chave pública do ransomware negociada ou para realizar o reconhecimento no usuário / sistema usando ferramentas analíticas de IP online para determinar se eles são ou não aplicáveis alvo.

DIGITALIZANDO

Agora que o ransomware se configurou e está equipado para persistir em caso de desligamentos ou reinicializações, ele se prepara para tomar arquivos como reféns. Para fazer isso, o Ransomware enumera o sistema local e os sistemas acessíveis pela rede, procurando uma lista predefinida de extensões de arquivo de interesse. O ransomware verifica e mapeia os locais contendo esses arquivos, tanto localmente quanto em sistemas acessíveis pela rede mapeados e não mapeados. Muitas variantes de ransomware também procuram por repositórios de armazenamento de arquivos em nuvem, como Box, Dropbox e outros; que também podem ser incluídos. A fase de varredura apresenta aos analistas de segurança a primeira oportunidade real de interromper o Ransomware Kill Chain.

Enquanto a varredura da máquina local e das pastas de nuvem sincronizadas pode ser realizada em segundos, mapear uma grande rede corporativa, investigar os resultados da varredura, verificar as permissões de leitura e gravação, etc. pode levar minutos ou horas dependendo da quantidade de informação que deve ser avaliada.

ENCRIPTAÇÃO

Até a fase de criptografia, nada potencialmente irreversível aconteceu. O ransomware simplesmente se desempacotou e realizado o reconhecimento do sistema no qual ele existe. Começando com a fase de criptografia, o controle da situação começa a se inclinar a favor do hacker à medida que o ransomware começa a criptografar todos os arquivos que descobriu durante a varredura. Muito parecido com a fase de varredura, a fase de criptografia pode levar de minutos a horas. Toda a criptografia ocorre localmente na máquina infectada, o que significa que para cada arquivo que deve ser criptografado, o ransomware deve buscar o arquivo, criptografá-lo, carregar a versão recém criptografada no local original e, em seguida, excluir o arquivo original.

RELATÓRIO DE AMEAÇA

O processo de criptografia de ransomware. Caso o armazenamento de rede ou locais de armazenamento em nuvem que foram descobertos durante a fase de varredura se tornem indisponíveis, o ransomware pode ficar inativo (contando com as precauções de persistência tomadas durante o teste) e esperar pacientemente por eles para ficar disponível para criptografia novamente.

DIA DO PAGAMENTO

Depois que a criptografia é concluída, o ransomware exibe explicitamente uma nota de resgate para a vítima. Uma maneira comum de fazer isso é mudar o papel de parede da mesa para uma nota de resgate que inclui instruções de pagamento. Com sua missão cumprida, a última tarefa que o ransomware geralmente executa é encerrar e excluir a si mesmo. Nesse ponto, os hackers simplesmente esperam que o resgate seja pago para uma carteira de bitcoin que possuem. As vítimas, por outro lado, devem decidir se desejam pagar o resgate ou se separar dos arquivos que foram criptografados pelo ransomware. Conforme observado, muitos tipos de ransomware são pré-configurados para ter limites de tempo limite onde o preço do resgate aumenta ou o software começa a excluir arquivos criptografados. Depois que o resgate é pago, as vítimas geralmente recebem um link que podem usar para baixar uma chave ou programa de descriptografia. Para cada local onde os arquivos foram encontrados e criptografados, cópias de notas de resgate geradas automaticamente são criadas em vários formatos, incluindo .html, .txt e scripts. Com ransomware, vemos uma correlação interessante entre empresas de tamanho e capacidade de resposta; quanto maior for uma organização, maior será a probabilidade de analistas de segurança ou equipes DFIR serem capazes de interromper uma infecção antes que esse processo seja concluído. Isso se deve à quantidade de digitalização e criptografia que deve levar antes que o resgate possa ser exigido.

Na figura abaixo exemplo de uma nota de resgate postada no papel de parede da área de trabalho de uma máquina infectada durante o dia de pagamento:

LIDANDO COM RANSOMWARE

Em última análise, em muitas organizações, a tarefa de limpar o ransomware recai diretamente sobre os ombros da segurança analistas dentro do Centro de Operações de Segurança de uma organização. Para esses analistas, a experiência é a diferença entre resolver rapidamente um problema e uma longa investigação. Se o analista de plantão já lidou com um problema antes, lidar com o problema será muito mais fácil do que se eles tivessem que remontá-lo do zero. Infelizmente, virtualmente analistas de segurança ou equipes DFIR não tiveram a oportunidade de lidar com ransomware na escala necessária para holisticamente entender o problema. Se um analista entende o ransomware o suficiente para identificá-lo enquanto está acontecendo, ainda é necessário reunir uma linha do tempo do incidente para entender o escopo e o impacto da infecção, por exemplo, quais sistemas e ativos foram afetados. Isso consome um tempo valioso que poderia ser usado para interromper a infecção.

Recomendações sobre como lidar com uma infecção de ransomware.

PREVENÇÃO

O velho ditado “um grama de prevenção vale um quilo de cura” certamente se aplica ao ransomware. Parando o ransomware antes de se estabelecer em uma organização seria o ideal. Isso é possível fazer no final da fase da campanha, onde a distribuição é feita por e-mail ou drive por download. Existem fornecedores trabalhando arduamente para encontrar maneiras de reduzir a viabilidade das campanhas de distribuição de ransomware, protegendo sites de infecções para evitar watering hole e ataques drive-by-download, evitando mensagens de spam de chegar aos destinatários e verificar os executáveis em busca de sinais de ransomware. Esses esforços são bem-vindos, no entanto, a infecção ainda é um risco muito real. Além disso, se aprendemos alguma coisa com a indústria de antivírus, é que não existe bala de prata para segurança. Os invasores desenvolverão seus métodos de distribuição e encontrarão maneiras sempre criativas de infectar suas vítimas.

HORA DE DETECÇÃO DE MATÉRIAS ... MUITO

Embora desejemos que todos os ransomwares possam ser interrompidos antes da infecção, isso simplesmente não é realista na maioria dos casos. O ransomware quase sempre é detectado depois que o dano já ocorreu e o software já atingiu o estágio de “dia de pagamento”, em que o resgate é exigido. Felizmente, entre as fases de infecção e criptografia na cadeia de destruição, há uma oportunidade de interromper o processo. Durante essas fases, o ransomware precisa se instalar, se preparar para persistir na reinicialização após a reinicialização, identificar arquivos vulneráveis e finalmente criptografar esses arquivos. Todas essas coisas levam tempo, embora em alguns casos não seja muito. Dependendo do tipo de ambiente que a vítima tem, a varredura e a criptografia podem levar de minutos a horas. Para computadores pessoais, os arquivos são normalmente em número relativamente baixo e armazenados em locais muito fáceis de encontrar, como local ou discos rígidos externos, ou até mesmo serviço de armazenamento de arquivos em nuvem como o Dropbox. Para esses ambientes relativamente simples, a varredura e a criptografia podem ser concluídas em minutos. Isso deixa um período de tempo relativamente curto para detectar e reagir a um ataque.

Em redes corporativas, o ransomware tem um trabalho muito maior a fazer em termos de identificação de ativos, compartilhamentos de arquivos, unidades de rede, unidades de nuvem, outras máquinas para infectar, etc. Mapeamento de rede, identificação de arquivo e verificação de permissão podem demorar horas e quanto maior for a rede, mais tempo demorará este processo. O mesmo se aplica à criptografia. Arquivos mais vulneráveis significa que mais criptografia deve acontecer antes que as vítimas possam receber uma nota de resgate exigindo pagamento. Esta fornece uma janela de oportunidade ilustrada abaixo.

Para analistas de segurança, é fundamental detectar e interromper a cadeia de eliminação do ransomware durante sua janela de oportunidade. Fazendo isso, eles podem impedir a propagação da infecção e colocar em quarentena as máquinas afetadas, removendo-as da rede até que possam ser tratados.

DETECÇÃO DE RANSOMWARE - O QUE FUNCIONA?

Existe uma tendência consistente entre as várias variáveis, mudança frequente. Cada software atualizava-se diariamente, de modo que não observei uma única peça de ransomware que permaneceu inalterada por mais de um período de 24 horas. Isso fornece às redes de ransomware o benefício de permanecer um passo à frente do AV fornecedores, soluções de segurança baseadas em assinaturas e soluções de inteligência de ameaças, uma vez que quaisquer assinaturas, domínios ou endereços IP associados ao ransomware se tornam obsoletos em um período de 24 horas. Quando as assinaturas estão ausentes ou são ineficazes, a detecção deve contar com outras abordagens. O ransomware pode ser detectado de forma confiável usando modelagem comportamental. Com base na meta de atingir o dia de pagamento ou o estágio de resgate de uma infecção, esses programas logicamente devem primeiro se distribuir, infectar um sistema, preparar seu ambiente, procurar dados para criptografar, criptografar e, finalmente, informar aos usuários o que foi feito.

O ransomware, por definição, tem o objetivo específico de manter os arquivos como reféns em troca de pagamento. Esta meta previsível rendeu uma cadeia de morte facilmente definível ou ciclo de vida que pode ser rastreado usando análise comportamental. Cada estágio da mudança da cadeia tem atividades específicas que devem acontecer para completar esse estágio e essas atividades irão se manifestar no log, itens como ações executadas pelo usuário infectado. Esses artefatos de log são coisas como logs de atividade de arquivo, logs de rastreamento de registro, alertas do sistema de segurança de endpoint, etc. Ao analisar todos os artefatos de log de um ambiente específico, bons e ruins, e vinculá-los a usuários específicos, os cronogramas da atividade diária de cada usuário pode ser criada. A modelagem comportamental pode então determinar o que é um comportamento normal e anormal para esses usuários e identificar anomalias associadas ao ransomware em tempo real. É essencial que esta modelagem comportamental faça uso de técnicas automatizadas para realizar esta análise dentro da janela de oportunidade na cadeia de eliminação de ransomware. Contando com análises baseadas em humanos para juntar as peças e sinais de uma infecção de ransomware seriam propensos a erros e demorados, de forma que a detecção antes da fase de pagamento seria altamente improvável.

O QUE MAIS PODE SER FEITO COM O RANSOMWARE?

Além da detecção de ransomware em tempo real descrita acima, há várias etapas que as equipes de segurança podem realizar a fim de se equipar melhor para lidar com a ameaça de ransomware.

• Fazer backup de arquivos - backups frequentes de arquivos críticos permitirão que os documentos sejam recuperados mesmo que o resgate não seja pago.

• Treinamento de segurança - sessões de treinamento ocasionais podem ajudar a educar os funcionários sobre como evitar se tornar a vítima de ataques de spam ou sites transformados em armas.

• Formação de analistas de segurança - Fornece analistas de segurança e equipes de resposta digital forense e incidentes (DFIR) com oportunidades para aprender sobre ameaças. Isso os ajudará a identificar e reagir a incidentes de segurança em seu ambiente.

RESUMO

O ransomware, embora único em relação a outro malware, ainda exibe vários sinais reveladores que podem apontar uma infecção em andamento. Ao analisar o comportamento diário dos usuários em tempo real para as anomalias que discutimos neste artigo, pode ser possível detectar esses primeiros sinais de alerta e impedir uma infecção de ransomware em seu caminho. Para ajudar a identificar melhor essas atividades e os artefatos de registro que os hospedam, incluí uma folha de referências para o analista de segurança no final deste documento.

GLOSSÁRIO DE TERMOS

C2 - uma abreviatura que significa “comando e controle”. C2s são servidores ou redes usados por máquinas infectadas com código malicioso para receber comandos e dados roubados. Os servidores C2 podem ser distribuídos em camadas para prolongar sua atividade e ocultar a origem dos comandos.

DFIR - Acrônimo que significa Digital Forensics and Incident Response. A equipe DFIR é responsável por descobrir, tratamento e mitigação de ameaças à segurança.

Download drive-by-download - um download no qual uma pessoa é induzida, sem saber, a baixar um código malicioso com um download que pareça legítimo ou mascarado como parte de um fluxo maior de atividade. Um site armado é uma forma comum de downloads drive-by para infectar as vítimas.

Ataque water-hole - Um ataque watering hole é uma exploração de segurança em que o invasor tenta comprometer um determinado grupo de usuários finais infectando sites que os membros do grupo costumam visitar. O objetivo é infectar um alvo computador do usuário e obter acesso à rede no local de trabalho do destino.

Exploit kit - um kit de software desenvolvido para rodar em servidores web, com o objetivo de identificar vulnerabilidades de software em máquinas clientes que se comunicam com ele, e descobrir e explorar vulnerabilidades para carregar e executar código malicioso no cliente.

Dropper - um pedaço de código projetado para baixar e instalar a carga real do malware de uma forma ofuscada que evita a detecção. Uma vez que o conta-gotas é geralmente um programa pequeno e simples, costuma ter vida curta e sofrer mutações enquanto a carga útil do malware malicioso pode permanecer a mesma. O Dropper também pode incluir comandos iniciais para o Malware como semente DGA ou endereços IP com os quais se comunicar.

DGA - Algoritmo Gerador de Domínio, às vezes referido como AGD (domínio gerado por algoritmo) é uma técnica onde o malware pode gerar nomes de domínio com base em uma técnica predefinida, como uma semente ou número que também é conhecido pelo C2 e é registrado dinamicamente por ele. Portanto, o DGA permite que o malware e o back-end estabeleçam uma conexão sem um nome de domínio predefinido.

• FICHA DE ANALISTA DE SEGURANÇA DE RANSOMWARE - Entre em contato comigo através do email: rofalmeida@outlook e solicite este documento.

Os 14 tipos de ransomware mais perigosos da web

Conheça os tipos de ransomware mais conhecidos (e perigosos) da internet. Saiba como não ser mais uma vítima.

• CIBERATAQUES

24.fev.2022 por Bianca de Moura

Nem sempre a palavra “ransomware” é a primeira que vem à mente quando o assunto é cibersegurança. Até hoje, a principal preocupação em relação à proteção de dados sempre foi diretamente relacionada às invasões de rede ou roubos de informações privadas.

Workshop online e gratuito “Ransomwares: defenda sua empresa do sequestro digital”; inscreva-se

Acontece que, com o aumento do armazenamento de dados corporativos, os ataques ransomware entraram (e se popularizaram) na lista dos crimes virtuais. Nesta modalidade, o objetivo é sequestrar dados e criptografá-los, em vez de simplesmente solicitar informações pessoais por meio de mensagens falsas.

Alguns tipos de ransomware fizeram história. Neste post, você vai descobrir quais são os ataques mais conhecidos (e perigosos) da internet.

O que é ransomware?

O ransomware na verdade faz parte de uma das muitas classes de softwares maliciosos usados por cibercriminosos. Ao infectar um computador ou rede, ele criptografa os arquivos que encontra ou bloqueia a capacidade do computador de usar livremente o sistema afetado.

Em seguida, suas vítimas recebem um pedido de resgate (normalmente cobrado em bitcoins) para decifrar e devolver as informações reféns. Os ataques de ransomware podem afetar empresas e indivíduos que utilizam dispositivos pessoais (como smartphones).

Ransomware é um tipo de malware?

Ao contrário do que muitos pensam, o ransomware não é um vírus, e sim uma categoria de malware que busca bloquear o acesso aos dados, geralmente sob a ameaça de apagá-los caso não ocorra o pagamento de um determinado valor.

Vale lembrar que o prefixo “ransom” significa “resgate” em inglês, enquanto “ware” é um derivado de “software”. Logo, o ransomware é um tipo de software de sequestros. Os malwares, por sua vez, fazem parte de uma definição mais ampla, já que pode ser qualquer software projetado para causar danos a um dispositivo, rede ou sistema.

Leia mais: baixe nosso kit de segurança para entender tudo sobre ataques de ransomware e avaliar seu risco de vazamento de dados.

Quantos tipos de ransomware existem?

Embora existam inúmeras variedades de ransomware, elas se enquadram em duas categorias principais.

Crypto ransomware

O Crypto ransomware é projetado para criptografar arquivos valiosos da vítima (como vídeos, documentos e fotos) para que eles se tornem inutilizáveis. Neste caso, o funcionamento do dispositivo não é afetado, e os arquivos aparentemente continuam presentes no sistema, mas não podem ser abertos.

Como nem todos fazem backup de seus arquivos na nuvem ou em alguma mídia externa, os criminosos que atacam deste modo geram receita ao manter os arquivos interceptados como resgate, exigindo que as vítimas tenham um determinado período para pagar por suas informações de volta.

Alguns motivos contribuem para o aumento de tipos de ataques como este nos últimos anos, como a dificuldade para recuperação de dados. Mesmo quando há a remoção do ransomware do sistema operacional, os arquivos podem continuar criptografados, e somente quem tem as chaves criptográficas do ataque consegue recuperar tais informações.

Locker ransomware

Ao contrário do Crypto ransomware, o Locker ransomware não criptografa arquivos. Em vez disso, é projetado para bloquear funções básicas do dispositivo, como impedir parcialmente o uso do teclado ou impossibilitar o acesso à área de trabalho.

Neste caso, a vítima não tem muitas opções a não ser interagir com a janela de resgate. Os arquivos, por outro lado, podem permanecer inalterados, mas sem possibilidade de acesso. Em ambos os tipos de ataque, os usuários podem se enxergar “de mãos atadas”, sem qualquer outra opção para poder acessar o seu dispositivo normalmente.

Existe também um terceiro modelo, que na verdade é um “falso ransomware”. Ele ameaça o usuário por meio de pop ups ou alertas de comprometimento de dados, no entanto, tudo não passa de um blefe: os dados não estão comprometidos de fato e tudo não passa de uma tentativa de conseguir dinheiro.

Quais são os tipos de ransomware mais perigosos?

Agora que você já sabe quais são os dois principais tipos de ransomware, aqui estão alguns dos exemplos mais conhecidos da internet e suas variantes, para que você consiga reconhecer melhor a dimensão desse tipo de ameaça.

1. Bad Rabbit

O Bad Rabbit infectou organizações na Rússia e outros países do leste europeu. O ataque se disseminou pelo mundo por um método de download oculto, no qual os usuários baixaram uma atualização falsa do Adobe Flash em sites comprometidos. Essa ação geralmente é suficiente para iniciar o download e concluir o ataque.

Esses tipos de programas baixados são chamados de instaladores de malware (ou “droppers”). Assim que o ransomware infecta as máquinas, os usuários são direcionados para uma página de pagamento que exige 0,05 bitcoin.

2. B0r0nt0k

O B0r0nt0k é um crypto ransomware criado especificamente para Windows e Linux. Depois de se infiltrar em um servidor Linux, esse software malicioso criptografa os arquivos que encontra, e adiciona a extensão “.rontok” a eles.

Este ransomware também desativa funções e aplicativos, modifica as configurações de inicialização e adiciona arquivos, programas e entradas de registro nos servidores que invade.

3. CryptoLocker

O ransomware CryptoLocker se espalhou pela primeira vez em 2007, por meio de anexos de e-mails infectados. Logo após baixado e inserido em um novo sistema, ele mapeava as informações mais importantes daquele dispositivo para criptografá-las. Estima-se que este tipo de ataque já atingiu mais de 250 mil computadores domésticos.

4. CryptoWall

O CryptoWall ganhou notoriedade alguns anos após após o controle e queda do CryptoLocker. Ele apareceu pela primeira vez no início de 2014, e suas variantes surgiram com muitos nomes, incluindo CryptoBit, CryptoDefense, e CryptoWall 2.0. Assim como o CryptoLocker, o CryptoWall foi disseminado por meio de e-mails e SPAM.

5. Doxware

Também chamado de “vazamento”, o Doxware ameaça publicar suas fotos e informações roubadas. O nome vem da palavra em inglês “doxing” (às vezes soletrada como “doxxing”), que se refere ao ato de publicar as informações pessoais de alguém online. O próprio termo “dox” é uma referência a “documentos”.

6. GoldenEye

O GoldenEye se tornou um dos tipos de ransomwares mais perigosos do mundo, sendo responsável por um shutdown em 2017 na Ucrânia, capaz de travar sistemas bancários e elétricos. Até o aeroporto do país sofreu com a paralisação.

Conhecido como um “irmão mortal” de outro ransomware (WannaCry), atingiu mais de 2.000 alvos, incluindo conhecidas empresas de petróleo e bancos russos. Uma das consequências mais alarmantes do ataque ocorreu na usina nuclear de Chernobyl: lá, o ataque forçou os funcionários a monitorar manualmente o nível de radiação, porque o ransomware os deixou sem acesso aos seus computadores Windows.

Sua disseminação foi feita por meio de uma campanha massiva, visando os departamentos de recursos humanos de grandes empresas. Após o download do arquivo, os arquivos no computador já começam a sofrer o processo de criptografia. Para cada arquivo criptografado, o Golden Eye adiciona uma extensão aleatória de 8 caracteres no final.

7. Locker

Como o próprio nome sugere, este tipo de ransomware infecta o sistema e bloqueia completamente o computador. Apesar de serem menos complexos que os ataques de criptografia, são mais difíceis de reverter e recuperar. O Locker também pode ser combinado com crypto ransomwares ao mesmo tempo, para dificultar ainda mais o acesso e pressionar a vítima a fazer o pagamento do resgate.

8. Petya

Petya foi um ataque de ransomware visto pela primeira vez em 2016, mas que reapareceu sob o nome de Golden Eye em 2017. Ao contrário de alguns outros tipos de ransomware, o Petya não criptografa apenas alguns arquivos, mas todo o disco rígido dos computadores que ataca. Ele também torna o sistema operacional não inicializável.

9. NotPetya

Inicialmente reconhecido como uma variante do Petya, o NotPetya é uma espécie de malware conhecido como “limpador”, ou seja: tem o único propósito de destruir dados, em vez de cobrar por um resgate.

10. RaaS

“RaaS” é uma sigla para “ransomware as a service”, ou “ransomware como um serviço” em português. É um tipo de malware hospedado anonimamente por hackers. Neste modelo, cibercriminosos criam um “kit ransomware” para ser revendido na dark web, geralmente cobrando uma mensalidade ou parte dos lucros obtidos com o golpe.

11. RansomExx

Conhecido por vitimar muitas lojas brasileiras, o RansomExx, também pode ser chamado de Ransom X, Target777, Defray777, Defray 2018 e Defray, por ser um ransomware ativo desde 2018. Ele ataca empresas mundialmente, afetando tanto Windows quanto Linux.

12. Scareware

Também conhecido como “software de engano”, o Scareware é um software que simula um antivírus ou ferramenta de limpeza. Ao realizar uma varredura, ele emite um alerta para que o usuário pague pela correção de algum (falso) problema encontrado.

Algumas versões deste ransomware realizam o bloqueio completo do computador, enquanto outros autorizam a exibição de pop ups com anúncios.

13. Spora

O Spora infecta sistemas de forma mais lenta, por meio de phishing ou websites comprometidos. Neste caso, os e-mails ou links contêm um arquivo não autorizado que, assim que baixado, extrai um ficheiro Javascript e o insere na pasta do sistema “% temp%”. Os arquivos são encriptados e o usuário recebe a mensagem para executar o resgate.

14. WannaCry

O WannaCry foi um notável ataque de ransomware que fez vítimas em mais de 150 países, a partir de 2017. O ataque foi baseado em uma vulnerabilidade no sistema operacional Windows, que rendeu uma brecha para a infecção de mais de 230.000 computadores em todo o mundo.

Ao explorar a vulnerabilidade de servidores para infectar outros computadores, o ataque rendeu cerca de US$ 4 bilhões, já que as vítimas afetadas realizaram o pagamento de altas quantias em bitcoins para não perder o acesso aos arquivos.

Como identificar um tipo de ransomware?

Muitas soluções de segurança especializadas conseguem identificar e bloquear os ransomwares antes mesmo que façam estragos no seu computador. Além disso, também existem sites que auxiliam na identificação dos tipos de ransomware que infectam sistemas, como o ID Ransomware. Neste último caso, é possível que não haja nenhuma solução para seu problema, a não ser que você possua um backup do arquivo atacado.

Vale lembrar que nem todos os antivírus oferecem proteção completa contra este tipo de problema atualmente, tendo em vista que diversos novos tipos de ransomwares surgem a cada ano.

O que fazer diante de um ataque?

Os desprotegidos que se tornarem vítimas de ransomware têm três opções: pagar o dinheiro necessário, tentar remover o software malicioso ou formatar o dispositivo. Apesar disso, o recomendado por todos os profissionais de segurança (inclusive do próprio FBI) é a de que você resista ao impulso de pagar pela recuperação dos arquivos. Além desta ação recompensar o ataque criminoso, não há nenhuma garantia de recuperação de dados após o pagamento.

Após constatar um ataque, desconecte o seu computador da rede, isole imediatamente as suas unidades externas (como unidades USB, discos rígidos, entre outros) e entre em contato com o setor de segurança de sua empresa, ou um especialista da área de segurança da informação.

Como se proteger de um ataque ransomware?

Em 2020, o Brasil foi o segundo alvo preferido para o ransomware. Atualmente, estima-se que um ataque deste tipo aconteça a cada 11 segundos no mundo. Por isso, é preciso ter a consciência de que é melhor prevenir do que remediar uma ameaça tão comum no país. Não conte com a sorte: tenha cuidado e use uma boa solução de segurança.

Analise o conteúdo que chega até você

Aprenda como detectar ataques de phishing e nunca baixe anexos ou programas de remetentes não confiáveis. Em geral, tenha muito cuidado com os tipos de sites que você visita e evite links de alto risco. Sites de compartilhamento de arquivos e pirataria, por exemplo, são famosos por conter códigos maliciosos.

Na dúvida, consulte o nosso analisador de links para ter certeza de que o domínio que você deseja acessar é realmente seguro.

Atualize seus softwares regularmente

Navegadores, aplicativos e sistemas operacionais desatualizados podem estar mais vulneráveis se um usuário visitar um site comprometido, já que a atualização normalmente inclui novos mecanismos de segurança.

Um levantamento recente da PSafe mostra que 98% dos sites corporativos têm vulnerabilidades. Se você trabalha em um ambiente corporativo e seu departamento de TI é limitado, analise a possibilidade de atualizações gerenciadas por um provedor terceirizado, para garantir que tudo seja corrigido em tempo hábil.

Faça backups

Se o pior acontecer e você sofrer um ataque de ransomware, um backup recente pode permitir que você limpe e restaure seus sistemas com perda mínima de dados – um fato que reduz o poder que os hackers têm sobre você.

Conte com uma proteção preventiva

Uma boa ferramenta anti-ransomware será capaz de detectar muitas variantes comuns de ameaças e impedir possíveis infecções. Escolha um produto que seja atualizado de forma constante, para te proteger de ransomwares mais recentes. Uma tecnologia preditiva e proativa, por exemplo, será suficiente para te manter a salvo, pois identifica potenciais ameaças antes mesmo que invadam seu dispositivo.

Não economize esforços para pesquisar e se informar sobre a melhor solução disponível no mercado para te proteger, afinal, os ataques estão cada vez mais sofisticados e a prevenção é a sua melhor arma contra eles.

Agora que você já sabe tudo sobre tipos de ransomware, não pare por aí. Acesse mais um post do nosso blog para conhecer 5 tipos de prejuízos que um ransomware pode causar para sua empresa.

Brasil volta ao ranking dos países mais atacados por ransomware, diz Trend Micro

A análise do panorama mundial das ameaças cibernéticas mostra o País na quarta posição da lista, que continua sendo liderada pelos Estados Unidos, seguido de Japão e Taiwan

Por Redaçãoem 31 de agosto de 2022 - 10:30 am

Compartilhar:

O relatório “Fast Facts” da Trend Micro, provedora global em soluções de cibersegurança, revelou que o Brasil retornou ao ranking dos cinco países que mais sofrem ataques de ransomware. A análise do panorama mundial das ameaças cibernéticas mostra o País na quarta posição da lista, que continua sendo liderada pelos Estados Unidos (21,1%) e tem o Japão (7,6%) e Taiwan (6%) no segundo e terceiro lugares, respectivamente. A Turquia completa o Top 5.

Após dar um salto em março, quando foram registrados mais de 2,5 milhões de ataques ransomware, o número de ocorrências voltou à média de 1 milhão, em junho, ficando, inclusive, abaixo dos casos de fevereiro. As grandes empresas continuam tendo a preferência dos cibercriminosos, que só neste primeiro semestre de 2022 já realizaram cerca de 8 milhões e 32 mil ataques desse tipo em todo o mundo. Lembrando que, ano passado, foram identificados, ao todo, 14 milhões de ataques ransomware.

No Brasil, o setor governamental continuou sendo o mais alvejado pelos criminosos digitais, em junho, seguido pelas áreas de Educação e Indústria

O Brasil também continua liderando o ranking de ameaças de extorsão por e-mail, incluindo os de cunho sexual, levando em consideração os endereços de IP únicos, seguido pelos Estados Unidos e Índia. Notavelmente, México e Alemanha entraram no top 10 do ranking, em junho. Entretanto, vale destacar a redução dos registros, em todos os países, em relação ao mês anterior.

A tendência de alta no número de ataques cibernéticos, observada até março, começou a oscilar a partir de abril, quando teve ligeira queda, subindo um pouco em maio e caindo novamente em junho, quando foram detectadas um pouco mais de 11,4 bilhões de ameaças, sendo a grande maioria – 7,8 bilhões – via e-mail (68% das ameaças detectadas).

O top 5 de países mais atacados por e-mail não sofreu alteração em junho, com os Estados Unidos (29,9%) permanecendo como principal alvo, seguidos pela China (14,1%), Japão (7%), Alemanha (5,2%) e Rússia (4,7%).

Nestes seis primeiros meses do ano, a Trend Micro bloqueou, ao todo, 63,7 bilhões de ataques cibernéticos. Em 2021, o total foi de 94,2 bilhões de tentativas, o que já demonstra a tendência de crescimento. As famílias de malware com maior atividade em junho foram: Emotet, Webshell, Coinminer, Powload e Dloader.

No Brasil, o setor governamental continuou sendo o mais alvejado pelos criminosos digitais, em junho, seguido pelas áreas de Educação e Indústria. Os segmentos de Seguros e Saúde também ficaram na mira dos atacantes.

O relatório “Fast Facts” é divulgado pela equipe de pesquisa da Trend Micro com atualizações mensais sobre o cenário de ameaças, tendo como base a solução Trend Micro Smart Protection Network (SPN), que analisa a infraestrutura de segurança de dados. Os dados coletados também contêm análises de pesquisadores da Trend Micro, da equipe do Zero Day Initiative (ZDI), da equipe de Threat Hunting, da equipe de Serviço Móvel de Reputação de Aplicativos (MARS) e da Smart Home Network (SHN).

Serviço
www.trendmicro.com

Ransomware attacks on the rise in 2022

Os danos do ransomware devem ultrapassar US$ 30 bilhões em todo o mundo em 2023, informa a InfoSecurity. Citando o relatório de ameaças cibernéticas do meio do ano da empresa de segurança cibernética Acronis, quase metade de todas as violações de dados em 2022 começaram com credenciais roubadas. Seiscentas campanhas de e-mail maliciosas foram lançadas no primeiro semestre de 2022, 58% das quais eram e-mails de phishing e 28% continham malware, de acordo com o relatório da Acronis. Os cibercriminosos passaram a atacar os principais pontos de entrada em redes que dependem de serviços em nuvem ou buscam vulnerabilidades de software ou não corrigidas para lançar ataques.

História completa no site https://www.infosecurity-magazine.com/news/ransomware-exceed-30bn-dollars-2023/

O que é Ransomware como Serviço (RaaS)?

Ransomware como serviço (RaaS) é um modelo baseado em assinatura que permite que os afiliados usem ferramentas de ransomware já desenvolvidas para executar ataques de ransomware. Os afiliados ganham uma porcentagem de cada pagamento de resgate bem-sucedido.

Ransomware as a Service (RaaS) é uma adoção do modelo de negócios Software as a Service (SaaS).

no passado, a erudição da codificação era um requisito para todos os hackers de sucesso. Mas agora, com a introdução do modelo RaaS, esse pré-requisito técnico foi completamente diluído.

Como todas as soluções SaaS, os usuários RaaS não precisam ser qualificados ou mesmo experientes para usar a ferramenta com proficiência. As soluções RaaS, portanto, permitem que até mesmo os hackers mais inovadores executem ataques cibernéticos altamente sofisticados .

As soluções RaaS pagam aos seus afiliados dividendos muito altos. A demanda média de resgate aumentou 33% desde o terceiro trimestre de 2019 para US$ 111.605, com alguns afiliados ganhando até 80% de cada pagamento de resgate.

A baixa barreira técnica de entrada e o prodigioso potencial de ganho de afiliados tornam as soluções RaaS projetadas especificamente para a proliferação de vítimas.

Como funciona o modelo RaaS?

Para que o modelo RaaS funcione, você precisa começar com ransomware habilmente codificado desenvolvido por operadores de ransomware habilidosos. Os desenvolvedores de ransomware precisam ser confiáveis ​​para obrigar os afiliados a se inscrever e distribuir seu malware .

Desenvolvedores de RaaS respeitáveis ​​criam software com alta chance de sucesso de penetração e baixa chance de descoberta.

Depois que o ransomware é desenvolvido, ele é modificado para uma infraestrutura de vários usuários finais. O software está pronto para ser licenciado para várias afiliadas. O modelo de receita para soluções RaaS espelha os produtos SaaS, os afiliados podem se inscrever com uma taxa única ou uma assinatura mensal.

Algumas soluções RaaS não têm requisitos de entrada monetária e os afiliados podem se inscrever com base em comissões.

Os afiliados de ransomware são suportados com documentação de integração contendo um guia passo a passo para iniciar ataques de ransomware com o software. Alguns distribuidores de RaaS até fornecem aos afiliados uma solução de painel para ajudá-los a monitorar o status de cada tentativa de infecção por ransomware.

Para recrutar afiliados, o RaaS publica a abertura de afiliados em fóruns na dark web . Algumas gangues de ransomware, como Circus Spider , recrutam apenas afiliados com habilidades técnicas específicas, devido às suas maiores chances de reivindicar vítimas de prestígio .

Requisitos para afiliados de aranhas de circo - fonte: twitter.com (@campuscodi)

Outras gangues de ransomware estão puramente interessadas em distribuição rápida e têm requisitos de afiliados muito flexíveis.

Cada novo afiliado recebe um código de exploração personalizado para seus ataques de ransomware exclusivos. Esse código personalizado é enviado ao site que hospeda o software RaaS para o afiliado.

Com o site de hospedagem afiliado atualizado, os usuários RaaS estão prontos para lançar seus ataques de ransomware.

Como funcionam os ataques RaaS?

A maioria das vítimas de ransomware é violada por meio de ataques de phishing . Phishing é um método de roubo de dados confidenciais , como senhas e detalhes de pagamento, por meio de uma fonte aparentemente inócua.

Os e-mails de phishing são a categoria mais comum de ataques de phishing. As vítimas recebem um e-mail que parece legítimo , mas quando clicam em um link, estão ativando uma ameaça cibernética sem saber .

Os afiliados do RaaS apresentam às vítimas um e-mail de phishing muito convincente. Quando um link é clicado, as vítimas são direcionadas para o site de exploração onde o ransomware é baixado clandestinamente.

Desde a pandemia, os e-mails de phishing com o tema Covid-19 inundaram as caixas de entrada. Esses e-mails parecem muito convincentes, especialmente para uma vítima em pânico com reservas frágeis.

E-mail de phishing do Netwalker com tema Covid - fonte: ncsc.org

Depois de baixado, o ransomware se move pelo sistema infectado, desativando firewalls e todos os softwares antivírus. Depois que essas defesas são compreendidas, o ransomware pode acionar o download autônomo de componentes de acesso remoto adicionais .

Se um endpoint vulnerável for descoberto, como um desktop, laptop ou até mesmo um dispositivo IoT , ele poderá servir como um gateway para toda a rede interna de negócios. O ransomware que ultrapassa essa profundidade de penetração é capaz de manter refém uma empresa inteira .

Com o ransomware agora livre para progredir sem detecção, os arquivos da vítima são criptografados a ponto de ficarem inacessíveis. A maioria dos ransomware opera sob processos autorizados, então as vítimas não estão cientes de qualquer violação de dados ocorrendo.

Após a conclusão do ataque, o jogo de extorsão começa.

Uma nota de resgate escrita em um arquivo TXT é depositada no computador da vítima. Esta nota instrui as vítimas a pagar um preço de resgate em troca de uma chave de descriptografia.

Nota de resgate de Egregor - fonte: bleepingcomputer.com

Algumas gangues de ransomware, como o grupo de crimes cibernéticos Maze , operam em um modelo de dupla extorsão. Eles exigem um pagamento de resgate em troca de uma chave de descrição e também ameaçam publicar os dados violados na dark web se o pagamento não for feito antes do prazo.

A dark web é uma rede infestada de criminosos, portanto, qualquer informação vazada na plataforma dará a vários grupos cibercriminosos acesso gratuito aos seus dados confidenciais e aos de seus clientes. O medo de mais exploração obriga muitas vítimas de ransomware a cumprir as exigências dos cibercriminosos.

Para efetuar o pagamento do resgate, as vítimas são instruídas a baixar um navegador da dark web e pagar por meio de um gateway de pagamento dedicado. A maioria dos pagamentos de ransomware é feita com criptomoeda, geralmente Bitcoin, devido à sua natureza não rastreável.

Nota de resgate de Sodinokibi com instruções de download do navegador escuro - fonte: bankinfosecurity.com

Cada pagamento de resgate é enviado a um lavador de dinheiro que ofusca a trajetória dos fundos para que não possam ser rastreados até o desenvolvedor do ransomware ou o afiliado RaaS.

As maiores ameaças de ransomware

Algumas das maiores ameaças variantes de ransomware RaaS são:

• Satanás

• internauta

• cerber

• egrégora

• anfitrião

• Quero chorar

• Filadélfia

• MacRansom

• Átomo

• FLUXO

• toxicológico

• REvil

• Ryuk

• Encriptador

• Em madeira

• Armário ORX

• Cacifo Alfa

• lágrima escondida

• Jano

• Resgate3

Ransomware: você deve pagar o resgate?

Se você deve ou não pagar por um preço de ransomware é uma decisão difícil de tomar. Se você fizer um pagamento, estará confiando que os cibercriminosos cumprirão a promessa de fornecer a você uma chave de descriptografia.

As operações cibercriminosas são inerentemente imorais, você não pode confiar em criminosos para manter um fragmento de moralidade e cumprir suas promessas. Na verdade, muitos afiliados RaaS não perdem tempo fornecendo chaves de descriptografia para todas as vítimas pagantes, o tempo é melhor gasto procurando novas vítimas pagantes.

Como o pagamento de um resgate nunca garante a descriptografia dos dados apreendidos, o FBI desencoraja fortemente o pagamento de resgates.

Saiba mais sobre como descriptografar ransomware.

Como se proteger de ataques de ransomware

A estratégia de mitigação de ataque de ransomware mais eficaz é uma combinação de educação da equipe, estabelecimento de defesas e monitoramento contínuo de seu ecossistema em busca de vulnerabilidades .

Aqui estão algumas táticas de defesa sugeridas:

• Monitore todas as solicitações de conexão de endpoints e estabeleça processos de validação

• Instrua a equipe sobre como identificar ataques de phishing

• Configure DKIM e DMARC para impedir que invasores usem seu domínio para ataques de phishing.

• Monitore e corrija todas as vulnerabilidades que expõem sua empresa a ameaças

• Monitore a postura de segurança de todos os seus fornecedores para evitar violações de terceiros

• Configurar sessões regulares de backup de dados

• Não confie apenas no armazenamento em nuvem, faça backup de seus dados em discos rígidos externos

• Evite clicar em links questionáveis. Os golpes de phishing não ocorrem apenas por e-mail, links maliciosos podem estar ocultos em páginas da web e até mesmo em documentos do Google.

• Use soluções antivírus e antimalware

• Certifique-se de que todos os seus dispositivos e softwares sejam corrigidos e atualizados.

• Forneça à sua equipe e aos usuários finais treinamento abrangente em engenharia social

• Introduzir Políticas de Restrição de Software (RSP) para impedir que programas sejam executados em ambientes comuns de ransomware, ou seja, o local da pasta temporária

• Aplique os Princípios do Menor Privilégio para proteger seus dados confidenciais.

Aprenda uma estratégia para ofuscar tentativas de ataque de ransomware.

Sua empresa corre o risco de um ataque de ransomware?

No UpGuard, podemos proteger sua empresa contra violações de dados , identificar todos os seus vazamentos de dados e ajudá-lo a monitorar continuamente a postura de segurança de seus fornecedores .

O UpGuard também oferece suporte à conformidade em uma infinidade de estruturas de segurança, incluindo o novo requisito definido pela Ordem Executiva de Segurança Cibernética de Biden .