O VietNamNet apresenta um artigo do Sr. Dao Trung Thanh, especialista em segurança cibernética e vice-diretor do Blockchain and AI Institute, para entender o ataque cibernético na VNDirect Securities Company e os perigos do Ransomware.
O ransomware, um tipo de malware que criptografa dados no sistema da vítima e exige um resgate para descriptografá-los, tornou-se uma das ameaças de segurança cibernética mais perigosas do mundo atualmente. Foto: zephyr_p/Fotolia

O caso VNDirect e o que torna o ransomware perigoso?

Em 24 de março de 2024, a VNDirect Securities Company, no Vietnã, tornou-se o mais recente foco no mapa de ataques internacionais de ransomware. Este ataque não é um caso isolado.

O ransomware, um tipo de software malicioso projetado para criptografar dados no sistema da vítima e exigir um resgate para descriptografá-los, tornou-se uma das ameaças à segurança cibernética mais disseminadas e perigosas do mundo atual. A crescente dependência de dados digitais e tecnologia da informação em todas as áreas da vida social torna organizações e indivíduos vulneráveis ​​a esses ataques.

O perigo do ransomware reside não apenas em sua capacidade de criptografar dados, mas também na forma como se espalha e exige resgates, criando um canal de transações financeiras por meio do qual hackers podem obter lucros ilícitos. A sofisticação e a imprevisibilidade dos ataques de ransomware os tornam um dos maiores desafios da segurança cibernética atualmente.

O ataque VNDirect é um lembrete claro da importância de compreender e prevenir ransomwares. Somente entendendo como o ransomware funciona e a ameaça que ele representa, podemos implementar medidas de proteção eficazes, desde a educação dos usuários e a aplicação de soluções técnicas até a construção de uma estratégia abrangente de prevenção para proteger dados e sistemas de informação críticos.

Como funciona o ransomware

O ransomware, uma ameaça assustadora no mundo da segurança cibernética, opera de forma sofisticada e multifacetada, causando sérias consequências às vítimas. Para entender melhor como o ransomware funciona, precisamos nos aprofundar em cada etapa do processo de ataque.

Infecção

O ataque começa quando um ransomware infecta um sistema. Existem várias maneiras comuns pelas quais um ransomware pode invadir o sistema de uma vítima, incluindo:

E-mails de phishing: e-mails falsos com anexos maliciosos ou links para sites que contêm código malicioso; Exploração de vulnerabilidades de segurança: aproveitamento de vulnerabilidades em softwares sem patches para instalar ransomware automaticamente sem interação do usuário; Malvertising: uso de anúncios na Internet para distribuir malware; Downloads de sites maliciosos: usuários baixam software ou conteúdo de sites não confiáveis.

Criptografia

Uma vez infectado, o ransomware inicia o processo de criptografia dos dados no sistema da vítima. Criptografia é o processo de conversão de dados em um formato que não pode ser lido sem a chave de descriptografia. O ransomware geralmente utiliza algoritmos de criptografia robustos, garantindo que os dados criptografados não possam ser recuperados sem a chave específica.

Pedido de resgate

Após criptografar os dados, o ransomware exibe uma mensagem na tela da vítima, exigindo um resgate para descriptografá-los. Essa mensagem geralmente contém instruções sobre como pagar (geralmente via Bitcoin ou outras criptomoedas para ocultar a identidade do criminoso), bem como um prazo para o pagamento. Algumas versões de ransomware também ameaçam excluir os dados ou publicá-los se o resgate não for pago.

Transações e descriptografia (ou não)

A vítima então se depara com uma decisão difícil: pagar o resgate e torcer para ter seus dados de volta, ou recusar e perdê-los para sempre. No entanto, pagar não garante que os dados serão descriptografados. Na verdade, pode incentivar os criminosos a continuarem com suas ações.

A forma como o ransomware opera não apenas demonstra sofisticação técnica, mas também uma triste realidade: a disposição de explorar a credulidade e a ignorância dos usuários. Isso ressalta a importância de aumentar a conscientização e o conhecimento sobre segurança cibernética, desde o reconhecimento de e-mails de phishing até a manutenção de softwares de segurança atualizados. Com uma ameaça em constante evolução como o ransomware, a educação e a prevenção são mais importantes do que nunca.

Variantes comuns de ransomware

No mundo em constante evolução das ameaças de ransomware, algumas variantes se destacam por sua sofisticação, capacidade de disseminação e sério impacto em organizações ao redor do mundo. Aqui estão as descrições de sete variantes populares e como elas operam.

REvil (também conhecido como Sodinokibi)

Características: O REvil é uma variante do Ransomware como Serviço (RaaS), permitindo que cibercriminosos o "alugue" para realizar seus próprios ataques. Isso aumenta significativamente a capacidade de disseminação do ransomware e o número de vítimas.

Métodos de Propagação: Distribuição por meio de vulnerabilidades de segurança, e-mails de phishing e ferramentas de ataque remoto. O REvil também utiliza métodos de ataque para criptografar ou roubar dados automaticamente.

Ryuk

Características: O Ryuk tem como alvo principal grandes organizações para maximizar o pagamento de resgates. Ele tem a capacidade de se personalizar para cada ataque, o que o torna difícil de detectar e remover.

Método de propagação: Por meio de e-mails de phishing e redes infectadas com outros malwares, como Trickbot e Emotet, o Ryuk espalha e criptografa dados de rede.

Robinhood

Características: Robinhood é conhecido por sua capacidade de atacar sistemas governamentais e grandes organizações, usando uma tática de criptografia sofisticada para bloquear arquivos e exigir grandes resgates.

Método de propagação: espalhado por meio de campanhas de phishing e também pela exploração de vulnerabilidades de segurança em softwares.

DoppelPaymer

Características: DoppelPaymer é uma variante autônoma de ransomware com a capacidade de causar sérios danos criptografando dados e ameaçando liberar informações se um resgate não for pago.

Método de propagação: Propagado por meio de ferramentas de ataque remoto e e-mails de phishing, especialmente visando vulnerabilidades em softwares sem patches.

SNAKE (também conhecido como EKANS)

Características: O SNAKE foi projetado para atacar sistemas de controle industrial (ICS). Ele não apenas criptografa dados, mas também pode interromper processos industriais.

Método de propagação: Por meio de campanhas de phishing e exploração, com ênfase em atingir sistemas industriais específicos.

Fobos

Características: O Phobos compartilha muitas semelhanças com o Dharma, outra variante de ransomware, e é frequentemente usado para atacar pequenas empresas via RDP (Remote Desktop Protocol).

Método de propagação: principalmente por meio de RDP exposto ou vulnerável, permitindo que invasores acessem e implantem ransomware remotamente.

LockBit

O LockBit é outra variante popular de ransomware que opera sob o modelo Ransomware-as-a-Service (RaaS) e é conhecido por seus ataques a empresas e organizações governamentais. O LockBit realiza seus ataques em três etapas principais: exploração de vulnerabilidades, penetração profunda no sistema e implantação da carga de criptografia.

Fase 1 - Exploração: O LockBit explora vulnerabilidades na rede usando técnicas como engenharia social, como por meio de e-mails de phishing ou ataques de força bruta em servidores de intranet e sistemas de rede.

Fase 2 - Infiltração: Após a infiltração, o LockBit usa uma ferramenta de "pós-exploração" para aumentar seu nível de acesso e preparar o sistema para o ataque de criptografia.

Fase 3 - Implantação: o LockBit implanta a carga criptografada em todos os dispositivos acessíveis na rede, criptografando todos os arquivos do sistema e deixando uma nota de resgate.

O LockBit também utiliza diversas ferramentas gratuitas e de código aberto em seu processo de intrusão, desde scanners de rede até softwares de gerenciamento remoto, para realizar reconhecimento de rede, acesso remoto, roubo de credenciais e exfiltração de dados. Em alguns casos, o LockBit chega a ameaçar liberar os dados pessoais da vítima se os pedidos de resgate não forem atendidos.

Com sua complexidade e ampla capacidade de disseminação, o LockBit representa uma das maiores ameaças no mundo moderno do ransomware. As organizações precisam adotar um conjunto abrangente de medidas de segurança para se protegerem desse ransomware e de suas variantes.

Dao Trung Thanh

Lição 2: Do ataque VNDirect à estratégia anti-ransomware