{"id":86086,"date":"2020-06-21T13:42:19","date_gmt":"2020-06-21T11:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh"},"modified":"2020-06-21T13:42:19","modified_gmt":"2020-06-21T11:42:19","slug":"ransomware-novyj-sposob-organizaczii-utechek-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh","title":{"rendered":"Ransomware \u2014 uma nova forma de organiza\u00e7\u00e3o de vazamentos de dados","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Vazamentos de dados s\u00e3o uma quest\u00e3o delicada para a seguran\u00e7a da informa\u00e7\u00e3o. E agora, quando a maioria est\u00e1 trabalhando de casa, o risco de vazamentos \u00e9 significativamente maior. \u00c9 exatamente por isso que grupos cibern\u00e9ticos conhecidos est\u00e3o prestando mais aten\u00e7\u00e3o a protocolos de acesso remoto desatualizados e insuficientemente protegidos. E, curiosamente, um n\u00famero crescente de vazamentos de dados hoje est\u00e1 relacionado ao Ransomware. Como, por que e de que forma \u2014 voc\u00ea pode ler abaixo.<\/p>\n

\"Ransomware
\n<\/a><\/noindex>
\nCome\u00e7amos com o fato de que o desenvolvimento e a dissemina\u00e7\u00e3o de programas de ransomwares \u00e9 um neg\u00f3cio criminoso muito lucrativo em si mesmo. Por exemplo, segundo estimativas do FBI dos Estados Unidos, o grupo Sodinokibi<\/a><\/noindex> ganhou aproximadamente $1 milh\u00e3o por m\u00eas no \u00faltimo ano. E os criminosos que usaram o Ryuk conseguiram ainda mais \u2014 no in\u00edcio das atividades do grupo, suas receitas chegavam a at\u00e9 $3 milh\u00f5es por m\u00eas. Portanto, n\u00e3o \u00e9 surpreendente que muitos diretores de seguran\u00e7a da informa\u00e7\u00e3o (CISO) apontem os ransomwares como um dos cinco principais riscos para os neg\u00f3cios.<\/p>\n

O Centro de Seguran\u00e7a da Acronis Cyber Protection Operation Center (CPOC), localizado em Cingapura, confirma a intensifica\u00e7\u00e3o da cibercriminalidade na \u00e1rea de Ransomware. Na segunda metade de maio, houve um bloqueio global de 20% a mais de ransomwares do que o habitual. Ap\u00f3s uma leve desacelera\u00e7\u00e3o, agora, em junho, estamos observando um novo aumento na atividade. E h\u00e1 v\u00e1rias raz\u00f5es para isso. <\/p>\n

Acessar o computador da v\u00edtima
\n<\/h3>\n

\nAs tecnologias de prote\u00e7\u00e3o est\u00e3o em evolu\u00e7\u00e3o, e os criminosos precisam alterar sua t\u00e1tica para atingir sistemas espec\u00edficos. Os ataques direcionados de Ransomware ainda se espalham por meio de e-mails de phishing bem elaborados (aqui muito se deve \u00e0 engenharia social). No entanto, recentemente, os desenvolvedores de malware t\u00eam se concentrado em atacantes remotos. Para atac\u00e1-los, podem ser encontrados servi\u00e7os de acesso remoto mal protegidos, como RDP ou servidores VPN vulner\u00e1veis.
\n\u00c9 exatamente isso que eles est\u00e3o fazendo. No dark web, surgiram at\u00e9 servi\u00e7os de ransomware como servi\u00e7o, que fornecem tudo o que \u00e9 necess\u00e1rio para atacar a organiza\u00e7\u00e3o ou pessoa escolhida. <\/p>\n

Os invasores buscam qualquer maneira de penetrar na rede corporativa e expandir seu espectro de ataque. Assim, uma abordagem popular tem sido tentativas de infectar as redes de provedores de servi\u00e7os. Como os servi\u00e7os em nuvem est\u00e3o apenas come\u00e7ando a ganhar popularidade, a infec\u00e7\u00e3o de um servi\u00e7o popular permite atacar dezenas ou at\u00e9 centenas de v\u00edtimas ao mesmo tempo. <\/p>\n

Em caso de viola\u00e7\u00e3o dos consoles web de gerenciamento de sistemas de seguran\u00e7a ou backup, os atacantes podem desligar a prote\u00e7\u00e3o, excluir backups, e tamb\u00e9m garantir a implanta\u00e7\u00e3o de seu malware em toda a organiza\u00e7\u00e3o. Ali\u00e1s, \u00e9 exatamente por isso que os especialistas recomendam proteger cuidadosamente todas as contas de servi\u00e7o com autentica\u00e7\u00e3o multifatorial. Por exemplo, todos os servi\u00e7os em nuvem da Acronis permitem estabelecer uma prote\u00e7\u00e3o dupla, pois, em caso de comprometimento da senha, os invasores podem anular todas as vantagens de usar um sistema abrangente de ciberseguran\u00e7a. <\/p>\n

Amplia\u00e7\u00e3o do espectro de ataque
\n<\/h3>\n

\nQuando o objetivo desejado \u00e9 alcan\u00e7ado e o malware j\u00e1 est\u00e1 dentro da rede corporativa, para a propaga\u00e7\u00e3o adicional, normalmente s\u00e3o utilizadas t\u00e1ticas bastante t\u00edpicas. Os invasores estudam a situa\u00e7\u00e3o e se esfor\u00e7am para superar as barreiras criadas dentro da empresa para combater as amea\u00e7as. Esta parte do ataque pode ocorrer manualmente (afinal, se eles j\u00e1 entraram na rede, significa que a isca est\u00e1 no anzol!). Para isso, s\u00e3o usadas ferramentas bem conhecidas, como PowerShell, WMI PsExec, al\u00e9m do mais recente emulador Cobalt Strike e outras utilidades. Alguns grupos criminosos atacam intencionalmente gerenciadores de senhas para penetrar mais profundamente na rede corporativa. E um malware como Ragnar foi recentemente observado em uma imagem de m\u00e1quina virtual VirtualBox totalmente fechada, que ajuda a ocultar a presen\u00e7a de software n\u00e3o autorizado na m\u00e1quina. <\/p>\n

Assim, ao entrar na rede corporativa, o malware tenta verificar o n\u00edvel de acesso do usu\u00e1rio e aplicar senhas roubadas. Utilit\u00e1rios como Mimikatz e Bloodhound & Co. ajudam a invadir contas de administradores de dom\u00ednio. E s\u00f3 quando o atacante considera que as possibilidades de dissemina\u00e7\u00e3o est\u00e3o esgotadas, \u00e9 que um programa de ransomware \u00e9 carregado diretamente nos sistemas dos clientes. <\/p>\n

Ransomware como disfarce
\n<\/h3>\n

\nConsiderando a gravidade da amea\u00e7a de perda de dados, a cada ano, mais empresas implementam o chamado \u201cplano de recupera\u00e7\u00e3o de desastres\u201d. Com isso, elas n\u00e3o precisam se preocupar tanto com dados criptografados e, em caso de ataque de ransomware, n\u00e3o come\u00e7am a reunir resgate, mas sim iniciam o processo de recupera\u00e7\u00e3o. No entanto, os criminosos tamb\u00e9m n\u00e3o est\u00e3o parados. Sob a cobertura do ransomware, ocorre um roubo massivo de dados. Os primeiros a aplicar essa t\u00e1tica de forma ampla foram o Maze, ainda em 2019, embora outros grupos ocasionalmente tenham combinado ataques. Agora, o roubo de dados, simultaneamente \u00e0 criptografia, \u00e9 realizado por pelo menos Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO e Sekhmet.<\/p>\n

\u00c0s vezes, os criminosos conseguem extrair da empresa dezenas de terabytes de dados, que poderiam ter sido detectados por meio de monitoramento de rede (se estivessem instalados e configurados). Afinal, na maioria das vezes, a transmiss\u00e3o de dados ocorre simplesmente via FTP, Putty, WinSCP ou scripts PowerShell. Para contornar sistemas de DLP e monitoramento de rede, os dados podem ser criptografados ou enviados como um arquivo compactado com senha, e isso representa um novo desafio para os servi\u00e7os de seguran\u00e7a, que precisam verificar o tr\u00e1fego de sa\u00edda em busca de arquivos desse tipo.<\/p>\n

O estudo do comportamento dos infostealers mostra que os criminosos n\u00e3o coletam qualquer tipo de informa\u00e7\u00e3o \u2014 eles est\u00e3o especificamente interessados em relat\u00f3rios financeiros, bases de dados de clientes, dados pessoais de funcion\u00e1rios e clientes, contratos, registros e documentos legais. O malware escaneia os discos em busca de qualquer informa\u00e7\u00e3o que teoricamente poderia ser utilizada para chantagem.
\nSe tal ataque foi bem-sucedido, normalmente os criminosos publicam um pequeno teaser, mostrando alguns documentos como prova de que os dados vazaram da organiza\u00e7\u00e3o. Alguns grupos at\u00e9 publicam conjuntos completos de dados em seu site, caso o prazo de pagamento do resgate j\u00e1 tenha expirado. Para evitar bloqueios e alcan\u00e7ar um p\u00fablico amplo, os dados s\u00e3o publicados tamb\u00e9m na rede TOR.<\/p>\n

Outra forma de monetiza\u00e7\u00e3o \u00e9 a venda de dados. Por exemplo, o Sodinokibi recentemente anunciou a realiza\u00e7\u00e3o de leil\u00f5es abertos, onde os dados s\u00e3o entregues ao participante que fizer a maior oferta. O pre\u00e7o inicial desses leil\u00f5es varia de $50.000 a $100.000, dependendo da qualidade e do conte\u00fado dos dados. Por exemplo, um conjunto de 10.000 registros de fluxos de caixa, dados comerciais confidenciais e carteiras de motorista digitalizadas foram vendidos por pre\u00e7os a partir de $100.000. Por $50.000, era poss\u00edvel adquirir mais de 20.000 documentos financeiros, al\u00e9m de tr\u00eas bancos de dados com arquivos cont\u00e1beis e dados de clientes. <\/p>\n

Os sites que publicam vazamentos podem ser dos mais variados tipos. Pode ser uma p\u00e1gina simples, onde tudo o que foi roubado \u00e9 simplesmente exposto, ou estruturas mais complexas com se\u00e7\u00f5es e op\u00e7\u00f5es de compra. Mas o principal \u00e9 que todos servem a um \u00fanico objetivo: aumentar as chances de os atacantes obterem dinheiro real. Se esse modelo de neg\u00f3cios mostrar bons resultados para os criminosos, n\u00e3o h\u00e1 d\u00favida de que haver\u00e1 ainda mais sites desse tipo, e as t\u00e9cnicas de roubo e monetiza\u00e7\u00e3o de dados corporativos ser\u00e3o ampliadas.<\/p>\n

Assim s\u00e3o os sites atuais onde os vazamentos de dados s\u00e3o publicados:<\/p>\n

\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n<\/p>\n

O que fazer diante de novos ataques
\n<\/h3>\n

\nO principal desafio para as equipes de seguran\u00e7a, nessas condi\u00e7\u00f5es, \u00e9 que, ultimamente, cada vez mais incidentes relacionados a Ransomware se mostram apenas um m\u00e9todo de distra\u00e7\u00e3o para o roubo de dados. Os criminosos j\u00e1 n\u00e3o apostam apenas na criptografia dos servidores. Ao contr\u00e1rio, o principal objetivo \u00e9 promover o vazamento enquanto voc\u00ea lida com os sequestradores de dados. <\/p>\n

Assim, o uso apenas de um sistema de backup, mesmo com um bom plano de recupera\u00e7\u00e3o, revela-se insuficiente para combater amea\u00e7as em m\u00faltiplas camadas. Claro, backups s\u00e3o imprescind\u00edveis, pois os atacantes certamente tentar\u00e3o criptografar algo e pedir um resgate. A quest\u00e3o \u00e9 que agora cada ataque que utiliza ransomware deve ser visto como uma oportunidade para uma an\u00e1lise abrangente do tr\u00e1fego e o in\u00edcio de uma investiga\u00e7\u00e3o sobre a poss\u00edvel amea\u00e7a. Tamb\u00e9m \u00e9 necess\u00e1rio considerar medidas adicionais de seguran\u00e7a que possam: <\/p>\n