Código Morse e Extorsão Dupla: Cenário Atual de Ameaças Avançadas de Malware

Ransomware não é estranho a redes corporativas, pois representa riscos enormes e esforços de recuperação ainda maiores que são bastante custosos. Ataques de ransomware bem-sucedidos podem resultar em sistemas bloqueados, identidade roubada e dados mantidos como reféns, todos os quais podem causar caos e desastre às organizações alvo. Quando ransomware atinge seu alvo, é praticamente fim de jogo. O malware criptografa arquivos e se espalha por todo o sistema para maximizar dano, o que força muitas empresas a bloquear redes para parar a propagação.

Embora criptografia seja usada em todo lugar, não deve ser confundida com hashing ou ofuscação de arquivos. Técnicas de hashing e ofuscação são úteis para evadir ferramentas de detecção, enquanto ransomware toma seus dados como reféns por causa da criptografia.

Cada um usa diferentes tipos de criptografia, de cifras simétricas modernas a cifras assimétricas, a ideia sendo impedir qualquer operação reversa sem chave.

Muitas cepas de ransomware exibem uma "nota especial" após a criptografia, mandando que a única forma de descriptografar arquivos é enviar Bitcoins para a carteira dos criminosos. No entanto, como sabemos, algumas formas de ransomware são descriptografáveis, e o resgate não precisa ser pago, ou o ônus não deve recair apenas no seguro cibernético. Por exemplo, Jigsaw, forma antiga de malware cunhada em 2016, contém a chave usada para criptografar arquivos no código fonte. Vimos recentemente este tipo de ataque surgir novamente este ano dentro de código Morse, provando que mesmo enquanto malware continua evoluindo, criminosos usarão o que funciona, significando que negócios precisam estar cientes não só de ameaças em evolução mas também de velhas formas de ataque.

Ataques recentes não apenas criptografam dados. O malware também é capaz de exfiltrar informação crítica antes da criptografia. Conforme proteção contra ransomware melhora, especialmente com estratégias de remoção e recuperação, hackers estão se voltando para usar dados roubados como nova alavanca para ainda ameaçar vítimas se não pagarem o resgate, criando ameaça dupla de ransomware.

Observamos recentemente atores de ameaça adotando modelo de "extorsão dupla", no qual criptografam dados do alvo e não apenas exigem resgate por seu retorno, mas também alavancam incentivos de pagamento adicionais para adicionar pressão na vítima para pagar o resgate. Alguns atores de ameaça usarão abordagem ainda mais direcionada e ameaçarão liberar ou leiloar dados publicamente a menos que vítima pague, situação que destaca risco de não atender conformidade com Regulamento Geral de Proteção de Dados (GDPR) da UE e centenas de políticas e leis de privacidade de dados. Dois exemplos são Conti e REvil, ambos em nossa lista de Malware Mais Nocivo de 2021, conhecidos por publicar dados vazados em sites da dark web se resgates não são pagos.

Uma forma crítica de melhorar resiliência cibernética — a capacidade de suportar ataques e garantir acesso contínuo a dados — é ter estratégia sólida de backup. No entanto, esforços podem se tornar fúteis se organizações esquecerem de listar e identificar claramente seus requisitos, então não testarem seus procedimentos regularmente para prevenir falhas massivas nos piores momentos.

Proteção de dados é toda sobre mitigação de risco, e você precisa fazer a si mesmo algumas perguntas-chave para ter o plano mais abrangente:

• Como seus dados se conectam às suas operações de negócio ou receita, e os dados precisam ser arquivados?
• Os dados vivem em sistema legado onde podem estar sujeitos a frameworks regulatórios que poderiam expor seu negócio a penalidades se dados forem violados?
• Quais são os dados sem os quais seu negócio não pode funcionar?
• Quanto tempo pode levar para restaurar esses dados?
• O que pode custar para restaurar completamente?

Cibercriminosos continuarão refinando suas abordagens e experimentando diferentes modelos de negócio, conforme ataques de ransomware evolutivos colocam enorme estresse na disponibilidade de serviços e fluxos de dados.

Embora esses adversários, sem dúvida, continuem buscando formas adicionais de pressionar vítimas para maximizar chances de serem pagos, você pode ser capacitado para preservar o que é mais valioso para você hoje implantando práticas fortes de resiliência cibernética, tanto agora quanto no futuro.

David Dufour é vice-presidente de engenharia de cibersegurança e inteligência de ameaças com Webroot e Carbonite, empresas da OpenText.