Ransomware VirLocker: o que você precisa saber
A ameaça do ransomware aumentou significativamente na última década, tanto em termos de quantidade quanto de complexidade. Os cibercriminosos e os autores de malware estão cada vez mais inovadores com seus códigos de malware, personalizando-os para criar o máximo de dano. O ransomware é conhecido por criptografar arquivos no computador da vítima e exigir um resgate em troca da chave de descriptografia. Como se isso não fosse assustador o suficiente, certos ransomwares têm a capacidade adicional de não apenas criptografar, mas também infectar arquivos, transformando-os em infectadores de arquivos polimórficos. O VirLocker é um desses ransomware, e seus efeitos podem ser desastrosos.
O que é o VirLocker?
A cepa de ransomware VirLocker, também conhecida como VirLock ou VirRansom, apareceu pela primeira vez em 2014. Em 2016 tornou-se proeminente, e pesquisadores de segurança descobriram que variantes dessa cepa eram capazes de se espalhar por meio de armazenamento em nuvem e aplicativos de colaboração. Acredita-se que o VirLocker seja o primeiro ransomware polimórfico auto-replicante do mundo. A maioria dos ransomwares bloqueiam telas ou criptografam arquivos, enquanto alguns adotam uma abordagem híbrida e fazem as duas coisas. O VirLocker vai um passo além - não apenas bloqueia telas e criptografa arquivos, mas também os infecta e transforma cada um desses arquivos criptografados em um infectador de arquivo polimórfico. Um arquivo VirLocker infectado contém um código limpo embutido entre o código polimórfico e o código de malware.
Como funciona?
O ransomware é mais conhecido por obter acesso inicial por meio de e-mail de phishing, kits de exploração, unidades removíveis etc. Acredita-se que as variantes mais recentes do VirLocker se espalhem por unidades externas ou pen drives. Uma vez executado, o VirLocker descarta três instâncias de si mesmo – uma realiza a infecção do arquivo, outra bloqueia a máquina e a terceira se registra como um serviço. Cada uma dessas três instâncias é única e o corpo do código é diferente não apenas para cada host infectado, mas também cada vez que é executado. As três instâncias aparecem como executáveis nomeados aleatoriamente com diferentes hashes em pastas nomeadas aleatoriamente. Também é conhecido por criar e modificar entradas de registro para evitar a detecção. Ele cria entradas de execução em HKEY_CURRENT_USER e HKEY_LOCAL_MACHINE para que a persistência seja obtida e seja iniciada toda vez que o sistema operacional for inicializado. O VirLocker desabilita o explorer.exe e o taskmgr.exe, impedindo que as vítimas identifiquem e removam os processos e entradas maliciosos. Ele também altera as configurações do registro para não mostrar nenhum arquivo oculto, oculta as extensões de arquivo e desabilita o controle de acesso do usuário. Veja a seguir um exemplo de conjunto de comandos usados para alterar as entradas do registro:
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v HideFileExt /t REG_DWORD /d 1
- reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /f /v Hidden /t REG_DWORD /d 2
- reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /d 0 /t REG_DWORD /f
O efeito fan-out
Como as variantes do VirLocker são capazes de se espalhar por meio de aplicativos de armazenamento e colaboração em nuvem, cada arquivo infectado no sistema da primeira vítima é essencialmente uma arma capaz de espalhar e infectar outros sistemas na rede. Considere um cenário em que um usuário seja infectado pelo VirLocker. O VirLocker criptografará todos os arquivos no sistema desse usuário e transformará cada um em arquivos infectantes do VirLocker. Agora, se esse usuário tiver arquivos e pastas compartilhados, eles também serão infectados. Quando outro usuário clica em qualquer um desses arquivos compartilhados, o VirLocker é executado em seu sistema e todos os outros arquivos nesse sistema também são criptografados e convertidos em um infector de arquivos VirLocker. Esse cenário se estenderá a todos os usuários que estão colaborando uns com os outros por meio de aplicativos de armazenamento em nuvem, infectando toda a organização rapidamente.
A estranha nota de resgate
Depois que o VirLocker é executado e o sistema do usuário é infectado, a seguinte nota de resgate é exibida na tela.
Curiosamente, o VirLocker se disfarça como um aviso antipirataria do FBI. Ele alega que algum software pirata foi detectado no computador da vítima e os ameaça com consequências legais se eles não pagarem a chamada multa de 'primeiro infrator', que é essencialmente o resgate. O VirLocker também é conhecido por verificar a localização geográfica do dispositivo pesquisando o registro e exibir uma mensagem adequada à localização da vítima.
Como acontece com qualquer outro ataque de ransomware, pagar o resgate não necessariamente garante que uma vítima receba todos os seus arquivos de volta. No entanto, com o VirLocker a situação se torna muito pior, porque os arquivos não são apenas criptografados, mas também infectados. As vítimas estão sendo cada vez mais aconselhadas por especialistas em segurança a não pagar o resgate, porque mesmo que possam recuperar seus arquivos, é provável que um arquivo infectado sorrateiro possa estar em algum lugar não detectado no sistema. E se um usuário clicar nesse arquivo sem saber, ele iniciará todo o pesadelo novamente.Proteja sua organização com Log360
Vários limpadores autônomos e ferramentas de remoção estão disponíveis para o VirLocker, mas o problema de deixar para trás alguns arquivos infectados sempre permanece. Uma solução de segurança eficaz deve ser capaz de rastrear um ataque rapidamente, investigar a causa raiz e tomar medidas corretivas. Nossa solução SIEM, ManageEngine Log360, ajuda a prevenir ataques alertando se quaisquer eventos ou atividades incomuns forem detectados e iniciando processos de correção automática. Para avaliar completamente como o Log360 pode ajudar sua organização a se defender contra o VirLocker e outros ataques cibernéticos, inscreva-se para uma demonstração personalizada.
Esse post foi traduzido da nossa página em inglês SIEM Expert Talks, e sua autoria original é de Vamsi Krishna Sanapala.
Comments