{"id":69513,"date":"2020-02-20T06:38:30","date_gmt":"2020-02-20T03:38:30","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vykupat-tak-korolevu-varonis-rassleduet-bystro-rasprostranyayushhijsya-shifrovalshhik-vymogatel-savethequeen"},"modified":"2020-03-03T16:14:51","modified_gmt":"2020-03-03T13:14:51","slug":"vykupat-tak-korolevu-varonis-rassleduet-bystro-rasprostranyayushhijsya-shifrovalshhik-vymogatel-savethequeen","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/vykupat-tak-korolevu-varonis-rassleduet-bystro-rasprostranyayushhijsya-shifrovalshhik-vymogatel-savethequeen","title":{"rendered":"Comprar \u2014 assim diz a rainha: a Varonis investiga o ransomware \u201cSaveTheQueen\u201d que se espalha rapidamente","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><img decoding=\"async\" alt=\"Comprar \u2014 assim diz a rainha: a Varonis investiga o ransomware \u201cSaveTheQueen\u201d que se espalha rapidamente\" src=\"\/wp-content\/uploads\/2020\/02\/3b555cf5fad7a1472b9db7a26a736f57.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n <br \/>\nUma nova variante de malware do tipo ransomware criptografa arquivos e adiciona a extens\u00e3o \".SaveTheQueen\", espalhando-se pela pasta de rede do sistema SYSVOL nos controladores de dom\u00ednio do Active Directory.<\/p>\n<p>Nossos clientes se depararam com esse malware recentemente. Apresentamos nossa an\u00e1lise completa, os resultados e conclus\u00f5es abaixo.<br \/>\n<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h2>\n<h2>Detec\u00e7\u00e3o<\/h2>\n<\/h2>\n<p>\nUm de nossos clientes entrou em contato conosco ap\u00f3s enfrentar um novo tipo de ransomware que adicionava a extens\u00e3o \".SaveTheQueen\" a novos arquivos criptografados em seu ambiente.<\/p>\n<p>Durante nossa investiga\u00e7\u00e3o, mais precisamente na fase de busca por fontes de infec\u00e7\u00e3o, descobrimos que a propaga\u00e7\u00e3o e o rastreamento das v\u00edtimas infectadas foram realizados atrav\u00e9s do uso de <strong>pasta de rede SYSVOL <\/strong> no controlador de dom\u00ednio do cliente.<\/p>\n<p>O SYSVOL \u00e9 uma pasta chave para cada controlador de dom\u00ednio, usada para entregar objetos de pol\u00edticas de grupo (GPO) e scripts de logon e logoff para computadores do dom\u00ednio. O conte\u00fado dessa pasta \u00e9 replicado entre controladores de dom\u00ednio para sincronizar esses dados nos sites da organiza\u00e7\u00e3o. O acesso ao SYSVOL requer privil\u00e9gios de dom\u00ednio elevados, no entanto, ap\u00f3s a compromiss\u00e3o, esse ativo se torna uma ferramenta poderosa para atacantes, que podem us\u00e1-lo para espalhar rapidamente e de forma eficaz a carga maliciosa pelo dom\u00ednio.<\/p>\n<p>A cadeia de auditoria Varonis ajudou a identificar rapidamente o seguinte:<\/p>\n<ul>\n<li> A conta de usu\u00e1rio infectada criou um arquivo chamado \"hourly\" no SYSVOL<\/li>\n<li> Muitos arquivos de log foram criados no SYSVOL \u2014 cada um nomeado com o nome do dispositivo de dom\u00ednio<\/li>\n<li>Muitos endere\u00e7os IP diferentes acessaram o arquivo \"hourly\"<\/li>\n<\/ul>\n<p>\nConclu\u00edmos que os arquivos de log foram usados para rastrear o processo de infec\u00e7\u00e3o em novos dispositivos, e que \"hourly\" \u00e9 uma tarefa programada que executava a carga maliciosa em novos dispositivos, utilizando o script Powershell \u2013 amostras \"v3\" e \"v4\".<\/p>\n<p>Provavelmente, o atacante obteve e utilizou privil\u00e9gios de administrador do dom\u00ednio para gravar arquivos no SYSVOL. Nos n\u00f3s infectados, o atacante executou c\u00f3digo PowerShell, que criava uma tarefa agendada para abrir, descriptografar e executar o malware.<\/p>\n<h2>\n<h2>Descriptografando o malware<\/h2>\n<\/h2>\n<p>\nTestamos v\u00e1rias formas de descriptografar as amostras sem sucesso:<\/p>\n<p><img decoding=\"async\" alt=\"Comprar \u2014 assim diz a rainha: a Varonis investiga o ransomware \u201cSaveTheQueen\u201d que se espalha rapidamente\" src=\"\/wp-content\/uploads\/2020\/02\/1473714dab68c4c046e057012bf27632.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEst\u00e1vamos quase prontos para desistir quando decidimos tentar o m\u00e9todo \"Magic\" incr\u00edvel<br \/>\nferramenta <noindex><a rel=\"nofollow\" href=\"https:\/\/gchq.github.io\/CyberChef\/\">Cyberchef<\/a><\/noindex> da GCHQ. O \"Magic\" tenta adivinhar a criptografia do arquivo, usando for\u00e7a bruta para diferentes tipos de criptografia e medindo a entropia. <\/p>\n<p><b class=\"spoiler_title\">Nota do tradutor<\/b> Veja.<noindex><a rel=\"nofollow\" href=\"https:\/\/ru.wikipedia.org\/wiki\/%D0%94%D0%B8%D1%84%D1%84%D0%B5%D1%80%D0%B5%D0%BD%D1%86%D0%B8%D0%B0%D0%BB%D1%8C%D0%BD%D0%B0%D1%8F_%D1%8D%D0%BD%D1%82%D1%80%D0%BE%D0%BF%D0%B8%D1%8F\">Entropia diferencial<\/a><\/noindex> e <noindex><a rel=\"nofollow\" href=\"https:\/\/ru.wikipedia.org\/wiki\/%D0%AD%D0%BD%D1%82%D1%80%D0%BE%D0%BF%D0%B8%D1%8F#%D0%92_%D1%82%D0%B5%D0%BE%D1%80%D0%B8%D0%B8_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%B8\">Entropia na teoria da informa\u00e7\u00e3o<\/a><\/noindex>. Este artigo e os coment\u00e1rios n\u00e3o incluem discuss\u00e3o por parte dos autores sobre os detalhes dos m\u00e9todos utilizados, tanto em software de terceiros quanto em software propriet\u00e1rio. <br \/>\n<img decoding=\"async\" alt=\"Comprar \u2014 assim diz a rainha: a Varonis investiga o ransomware \u201cSaveTheQueen\u201d que se espalha rapidamente\" src=\"\/wp-content\/uploads\/2020\/02\/af405d7c71cc799f50d8a1e56a32dd3f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n\"Magic\" identificou que foi usado um empacotador GZip com codifica\u00e7\u00e3o base64, permitindo-nos descompactar o arquivo e descobrir o c\u00f3digo para inje\u00e7\u00e3o \u2013 o \"injetor\".<\/p>\n<p><img decoding=\"async\" alt=\"Comprar \u2014 assim diz a rainha: a Varonis investiga o ransomware \u201cSaveTheQueen\u201d que se espalha rapidamente\" src=\"\/wp-content\/uploads\/2020\/02\/5f7ff7505b607fc502f24fe5cbe6ba61.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2> Dropper: \"H\u00e1 uma epidemia na \u00e1rea! Vacinas em massa. Peste\"<\/h2>\n<p>\nO dropper era um arquivo .NET comum sem qualquer prote\u00e7\u00e3o. Ap\u00f3s ler o c\u00f3digo-fonte com <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/0xd4d\/dnSpy\">DNSpy<\/a><\/noindex> , entendemos que seu \u00fanico objetivo era injetar c\u00f3digo shell no processo winlogon.exe.<\/p>\n<p><img decoding=\"async\" alt=\"Comprar \u2014 assim diz a rainha: a Varonis investiga o ransomware \u201cSaveTheQueen\u201d que se espalha rapidamente\" src=\"\/wp-content\/uploads\/2020\/02\/539b3ddb63bad6d3ebc48993462db135.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"Comprar \u2014 assim diz a rainha: a Varonis investiga o ransomware \u201cSaveTheQueen\u201d que se espalha rapidamente\" src=\"\/wp-content\/uploads\/2020\/02\/3135f51dcd9534c0a11a9a0dcf01bc0d.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2>C\u00f3digo shell ou complica\u00e7\u00f5es simples<\/h2>\n<p>\nUsamos uma ferramenta de autoria Hexacorn \u2013 <noindex><a rel=\"nofollow\" href=\"http:\/\/www.hexacorn.com\/blog\/2015\/12\/10\/converting-shellcode-to-portable-executable-32-and-64-bit\/\">shellcode2exe<\/a><\/noindex> para \"compilar\" o c\u00f3digo shell em um arquivo execut\u00e1vel para depura\u00e7\u00e3o e an\u00e1lise. Ent\u00e3o descobrimos que funcionava em m\u00e1quinas de 32 e 64 bits.<\/p>\n<p><img decoding=\"async\" alt=\"Comprar \u2014 assim diz a rainha: a Varonis investiga o ransomware \u201cSaveTheQueen\u201d que se espalha rapidamente\" src=\"\/wp-content\/uploads\/2020\/02\/df319bd4fa849be9e0afc0f4be5fe753.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEscrever mesmo um c\u00f3digo shell simples em tradu\u00e7\u00e3o nativa com assemblador pode ser complicado; escrever um c\u00f3digo shell completo que funcione em ambos os tipos de sistemas requer habilidades de elite, por isso come\u00e7amos a ficar impressionados com a sofistica\u00e7\u00e3o do atacante.<\/p>\n<p>Quando analisamos o c\u00f3digo shell compilado com <noindex><a rel=\"nofollow\" href=\"https:\/\/x64dbg.com\/\">x64dbg<\/a><\/noindex>, notamos que ele carregava <strong> bibliotecas din\u00e2micas .NET <\/strong>, como clr.dll e mscoreei.dll. Isso nos pareceu estranho \u2013 normalmente, os invasores tentam tornar o c\u00f3digo shell o menor poss\u00edvel, chamando fun\u00e7\u00f5es nativas do SO em vez de carreg\u00e1-las. <em>Por que algu\u00e9m precisaria incorporar funcionalidades do Windows no c\u00f3digo shell, em vez de fazer chamadas diretas conforme necess\u00e1rio? <\/em><\/p>\n<p>Como descobrimos, o autor do malware na verdade n\u00e3o escreveu esse c\u00f3digo shell complexo \u2013 foi utilizado um software caracter\u00edstico para essa tarefa para traduzir arquivos execut\u00e1veis e scripts em c\u00f3digo shell. <\/p>\n<p>Encontramos a ferramenta <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/TheWover\/donut\">Donut<\/a><\/noindex>, que achamos que poderia compilar um c\u00f3digo shell semelhante. Aqui est\u00e1 sua descri\u00e7\u00e3o no GitHub:<\/p>\n<p><em>Donut gera c\u00f3digos shell x86 ou x64 a partir de VBScript, JScript, EXE, DLL (incluindo assemblies .NET). Esses c\u00f3digos shell podem ser injetados em qualquer processo Windows para execu\u00e7\u00e3o.<br \/>\nde mem\u00f3ria RAM.<\/em><\/p>\n<p>Para confirmar nossa teoria, compilamos nosso pr\u00f3prio c\u00f3digo usando Donut e o comparamos com um exemplo - e... sim, encontramos mais um componente da ferramenta utilizada. Depois disso, conseguimos extrair e analisar o arquivo execut\u00e1vel original no .NET.<\/p>\n<h2> Prote\u00e7\u00e3o de c\u00f3digo <\/h2>\n<p>\nEste arquivo foi ofuscado com o <noindex><a rel=\"nofollow\" href=\"https:\/\/yck1509.github.io\/ConfuserEx\/\">ConfuserEx<\/a><\/noindex>:<\/p>\n<p><img decoding=\"async\" alt=\"Comprar \u2014 assim diz a rainha: a Varonis investiga o ransomware \u201cSaveTheQueen\u201d que se espalha rapidamente\" src=\"\/wp-content\/uploads\/2020\/02\/573d8e66ce3bdf8723201646d374a4cd.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"Comprar \u2014 assim diz a rainha: a Varonis investiga o ransomware \u201cSaveTheQueen\u201d que se espalha rapidamente\" src=\"\/wp-content\/uploads\/2020\/02\/cf94a7938184c72864acb8a8d81e8475.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nConfuserEx \u00e9 um projeto .NET de c\u00f3digo aberto para proteger o c\u00f3digo de outros desenvolvedores. Este tipo de software permite que os desenvolvedores protejam seu c\u00f3digo contra engenharia reversa usando m\u00e9todos como: substitui\u00e7\u00e3o de s\u00edmbolos, mascaramento do fluxo de controle e oculta\u00e7\u00e3o de m\u00e9todos de refer\u00eancia. Autores de malware usam ofuscadores para evitar a detec\u00e7\u00e3o e tornar a tarefa de engenharia reversa mais dif\u00edcil.<\/p>\n<p>Gra\u00e7as a <noindex><a rel=\"nofollow\" href=\"https:\/\/drive.google.com\/file\/d\/1cXHTHH1S90RCqWYnFOSp1rtYmURecQVm\/view\">ElektroKill Unpacker<\/a><\/noindex> n\u00f3s descompactamos o c\u00f3digo:<\/p>\n<p><img decoding=\"async\" alt=\"Comprar \u2014 assim diz a rainha: a Varonis investiga o ransomware \u201cSaveTheQueen\u201d que se espalha rapidamente\" src=\"\/wp-content\/uploads\/2020\/02\/03249d2b493027354396894cf9710041.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2> Resultado - carga \u00fatil<\/h2>\n<p>\nA carga \u00fatil resultante das transforma\u00e7\u00f5es \u00e9 um v\u00edrus sequestrador muito simples. Sem nenhum mecanismo de persist\u00eancia no sistema, nenhuma conex\u00e3o com o centro de comando - apenas a velha e boa criptografia assim\u00e9trica para tornar os dados da v\u00edtima ileg\u00edveis.<\/p>\n<p>A fun\u00e7\u00e3o principal seleciona como par\u00e2metros as seguintes strings:<\/p>\n<ul>\n<li> Extens\u00e3o de arquivo a ser usada ap\u00f3s a criptografia (SaveTheQueen) <\/li>\n<li> Email do autor para ser inclu\u00eddo no arquivo de nota de resgate<\/li>\n<li> Chave p\u00fablica utilizada para criptografar arquivos <\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Comprar \u2014 assim diz a rainha: a Varonis investiga o ransomware \u201cSaveTheQueen\u201d que se espalha rapidamente\" src=\"\/wp-content\/uploads\/2020\/02\/51b7194260b58e26636b5cbe1e9cdb28.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<strong>O processo parece o seguinte:<\/strong><\/p>\n<ol>\n<li> O malware examina os discos locais e conectados no dispositivo da v\u00edtima\n<p><img decoding=\"async\" alt=\"Comprar \u2014 assim diz a rainha: a Varonis investiga o ransomware \u201cSaveTheQueen\u201d que se espalha rapidamente\" src=\"\/wp-content\/uploads\/2020\/02\/ca93bce285bdcf05cd9f7f52bac78f25.jpg\" style=\"display:block;margin: 0 auto;\" \/>\n<\/li>\n<li> Busca arquivos para criptografar\n<p><img decoding=\"async\" alt=\"Comprar \u2014 assim diz a rainha: a Varonis investiga o ransomware \u201cSaveTheQueen\u201d que se espalha rapidamente\" src=\"\/wp-content\/uploads\/2020\/02\/e9790631b12dbf816a2c728c2267f1b0.jpg\" style=\"display:block;margin: 0 auto;\" \/>\n<\/li>\n<li> Tenta finalizar o processo que est\u00e1 usando o arquivo que ele est\u00e1 prestes a criptografar<\/li>\n<li> Renomeia o arquivo para \"Nome_Original_do_Arquivo.SaveTheQueenING\", utilizando a fun\u00e7\u00e3o MoveFile, e o criptografa <\/li>\n<li>Ap\u00f3s o arquivo ser criptografado com a chave p\u00fablica do autor, o malware renomeia-o, agora para \"Nome_Original_do_Arquivo.SaveTheQueen\".<\/li>\n<li>O arquivo com o pedido de resgate \u00e9 escrito na mesma pasta\n<p><img decoding=\"async\" alt=\"Comprar \u2014 assim diz a rainha: a Varonis investiga o ransomware \u201cSaveTheQueen\u201d que se espalha rapidamente\" src=\"\/wp-content\/uploads\/2020\/02\/c79df5ec0e714d9df01130a40b241f60.jpg\" style=\"display:block;margin: 0 auto;\" \/>\n<\/li>\n<\/ol>\n<p>\nCom base no uso da fun\u00e7\u00e3o nativa \"CreateDecryptor\", uma das fun\u00e7\u00f5es do malware parece conter como par\u00e2metro um mecanismo de descriptografia que requer a chave privada.<\/p>\n<p>V\u00edrus sequestrador <strong>N\u00c3O criptografa arquivos<\/strong>, armazenados nas pastas:<\/p>\n<p>C:windows<br \/>\nC:Program Files<br \/>\nC:Program Files (x86)<br \/>\nC:Users\\AppData<br \/>\nC:inetpub<\/p>\n<p>Tamb\u00e9m <strong>N\u00c3O criptografa os seguintes tipos de arquivos:<\/strong>EXE, DLL, MSI, ISO, SYS, CAB.<\/p>\n<h2>\n<h2> Resumo e Conclus\u00f5es<\/h2>\n<\/h2>\n<p>\nEmbora o ransomware em si n\u00e3o apresentasse caracter\u00edsticas incomuns, o atacante utilizou criativamente o Active Directory para espalhar o dropper, e o pr\u00f3prio malware apresentou-nos obst\u00e1culos interessantes, embora n\u00e3o muito complexos, durante a an\u00e1lise. <\/p>\n<p>Acreditamos que o autor do malware:<\/p>\n<ol>\n<li>Escreveu um ransomware com um embedding integrado no processo winlogon.exe, al\u00e9m de<br \/>\nfuncionalidade de criptografia e descriptografia de arquivos.<\/li>\n<li>Escondido o c\u00f3digo malicioso usando ConfuserEx, transformou o resultado usando Donut e ainda escondeu o dropper em base64 Gzip.<\/li>\n<li>Obteve privil\u00e9gios elevados no dom\u00ednio da v\u00edtima e os utilizou para copiar<br \/>\no malware criptografado e tarefas agendadas na pasta de rede SYSVOL dos controladores de dom\u00ednio.<\/li>\n<li>Executou um script PowerShell em dispositivos de dom\u00ednio para espalhar o malware e registrar o progresso do ataque em logs no SYSVOL.<\/li>\n<\/ol>\n<p>\n<img decoding=\"async\" alt=\"Comprar \u2014 assim diz a rainha: a Varonis investiga o ransomware \u201cSaveTheQueen\u201d que se espalha rapidamente\" src=\"\/wp-content\/uploads\/2020\/02\/8419072a20487e5a7a3ff20862759f53.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nSe voc\u00ea tiver perguntas sobre esta variante do ransomware, ou qualquer outra investiga\u00e7\u00e3o realizada por nossas equipes de forense e investiga\u00e7\u00e3o de incidentes de seguran\u00e7a da informa\u00e7\u00e3o, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.varonis.com\/ru\/company\/contact-us\/\">entre em contato conosco <\/a><\/noindex> ou solicite <noindex><a rel=\"nofollow\" href=\"https:\/\/www.varonis.com\/ru\/cyber-workshop\/\">uma demonstra\u00e7\u00e3o ao vivo da resposta a ataques<\/a><\/noindex>, onde sempre respondemos a perguntas dentro de uma sess\u00e3o de perguntas e respostas.<br \/>\n<br \/>Fonte: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/varonis\/blog\/488896\/\">habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u041d\u043e\u0432\u0430\u044f \u0440\u0430\u0437\u043d\u043e\u0432\u0438\u0434\u043d\u043e\u0441\u0442\u044c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e \u043a\u043b\u0430\u0441\u0441\u0430 \u0432\u0438\u0440\u0443\u0441\u043e\u0432-\u0432\u044b\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u0435\u0439 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u044b\u0432\u0430\u0435\u0442 \u0444\u0430\u0439\u043b\u044b \u0438 \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442 \u043a \u043d\u0438\u043c \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435 &quot;.SaveTheQueen&quot;, \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u044f\u0441\u044c \u0447\u0435\u0440\u0435\u0437 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u0443\u044e \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u043f\u0430\u043f\u043a\u0443 SYSVOL \u043d\u0430 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u043b\u0435\u0440\u0430\u0445 \u0434\u043e\u043c\u0435\u043d\u043e\u0432 Active Directory. \u041d\u0430\u0448\u0438 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u0438 \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438\u0441\u044c \u0441 \u044d\u0442\u0438\u043c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043e\u043c \u043d\u0435\u0434\u0430\u0432\u043d\u043e. \u041f\u0440\u0438\u0432\u043e\u0434\u0438\u043c \u043d\u0430\u0448 \u043f\u043e\u043b\u043d\u044b\u0439 \u0430\u043d\u0430\u043b\u0438\u0437, \u0435\u0433\u043e \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0438 \u0432\u044b\u0432\u043e\u0434\u044b \u043d\u0438\u0436\u0435. \u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u041e\u0434\u0438\u043d \u0438\u0437 \u043d\u0430\u0448\u0438\u0445 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u043e\u0432 \u0441\u0432\u044f\u0437\u0430\u043b\u0441\u044f \u0441 \u043d\u0430\u043c\u0438 \u043f\u043e\u0441\u043b\u0435 \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u043e\u043d\u0438 \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438\u0441\u044c \u0441 [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":69514,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-69513","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.3 - aioseo.com -->\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/vykupat-tak-korolevu-varonis-rassleduet-bystro-rasprostranyayushhijsya-shifrovalshhik-vymogatel-savethequeen\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.3\" \/>\n\t\t<meta property=\"og:locale\" content=\"pt_PT\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u0412\u044b\u043a\u0443\u043f\u0430\u0442\u044c \u2014 \u0442\u0430\u043a \u043a\u043e\u0440\u043e\u043b\u0435\u0432\u0443: Varonis \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u0431\u044b\u0441\u0442\u0440\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u044e\u0449\u0438\u0439\u0441\u044f \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043b\u044c\u0449\u0438\u043a-\u0432\u044b\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c \u201cSaveTheQueen\u201d | ProHoster\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/vykupat-tak-korolevu-varonis-rassleduet-bystro-rasprostranyayushhijsya-shifrovalshhik-vymogatel-savethequeen\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2020-02-20T03:38:30+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2020-03-03T13:14:51+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Resgatar \u2013 \u00e9 assim que se faz: Varonis investiga o ransomware de criptografia que se espalha rapidamente \u201cSaveTheQueen\u201d | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/vykupat-tak-korolevu-varonis-rassleduet-bystro-rasprostranyayushhijsya-shifrovalshhik-vymogatel-savethequeen","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pt_PT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412\u044b\u043a\u0443\u043f\u0430\u0442\u044c \u2014 \u0442\u0430\u043a \u043a\u043e\u0440\u043e\u043b\u0435\u0432\u0443: Varonis \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u0431\u044b\u0441\u0442\u0440\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u044e\u0449\u0438\u0439\u0441\u044f \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043b\u044c\u0449\u0438\u043a-\u0432\u044b\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c \u201cSaveTheQueen\u201d | ProHoster","og:url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/vykupat-tak-korolevu-varonis-rassleduet-bystro-rasprostranyayushhijsya-shifrovalshhik-vymogatel-savethequeen","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-02-20T03:38:30+00:00","article:modified_time":"2020-03-03T13:14:51+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"69513","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:21:24","updated":"2022-10-08 01:25:43","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/69513","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/comments?post=69513"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/69513\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media\/69514"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media?parent=69513"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/categories?post=69513"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/tags?post=69513"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}