Quinzenalmente, o FortiGuard Labs coleta dados sobre variantes de ransomware de interesse que vêm ganhando força em nossos conjuntos de dados e na comunidade OSINT. O relatório Ransomware Roundup tem como objetivo fornecer aos leitores breves insights sobre o cenário em evolução do ransomware e as soluções da Fortinet que protegem contra essas variantes.
Visão geral do DoDo Ransomware
O ransomware DoDo foi relatado pela primeira vez em fevereiro deste ano. É uma variante do amplamente divulgado e observado ransomware Chaos. Por ser um derivado, o ransomware DoDo não é considerado um ransomware novo e recente. No entanto, surgiu recentemente uma versão ligeiramente diferente do ransomware DoDo, que descrevemos abaixo.
Vetor de infecção
As amostras de ransomware DoDo têm o ícone de arquivo “Mercurial Grabber”, o que indica que o ransomware provavelmente foi distribuído como tal. Mercurial Grabber é um criador de malware de código aberto que pode gerar um infostealer configurado para roubar informações como tokens Discord, informações da máquina, chaves de produto do Windows e senhas do Chrome das máquinas das vítimas. Foi postado no GitHub em 3 de junho de 2021, com a seguinte isenção de responsabilidade:
No entanto, os agentes de ameaças têm usado ativamente esse construtor para atingir as vítimas e roubar informações usando as funções integradas mostradas na Figura 2 abaixo.
Figura 1: Ícone de arquivo das amostras do ransomware DoDo
Figura 2: Tela de configuração do Mercurial GrabberAs amostras mais recentes do ransomware DoDo foram enviadas a um serviço público de verificação de arquivos dos seguintes países:
- França
- Alemanha
- Índia
- China
- Reino Unido
- Peru
Variantes mais antigas foram enviadas dos seguintes países:
- As Filipinas
- Estados Unidos
- França
- Espanha
- Suécia
- Alemanha
- Reino Unido
- Peru
- Austrália
- Brasil
- Sérvia
- Bulgária
O disfarce de aplicativos e ferramentas gratuitas é um vetor de ataque classicamente simples, mas eficaz, usado por cibercriminosos há anos. No entanto, neste caso, o ransomware DoDo está disfarçado como o nefasto aplicativo Mercurial Grabber, o que significa que as vítimas potenciais mais prováveis são atacantes mal-intencionados ou usuários curiosos. Isso também torna a abundância de fontes de envio bastante surpreendente, indicando que todos os usuários em todo o mundo conseguiram, de alguma forma, encontrar e baixar uma cópia do falso construtor Mercurial Grabber.
Também é importante observar que o ícone do arquivo pode ser facilmente alterado. Ou seja, ele também pode se passar por outros aplicativos, dos quais todos os usuários devem ficar atentos ao baixar e utilizar apps fora da internet.
Execução de ransomware
Embora as variantes mais recentes e mais antigas do DoDo emitam notas de resgate ligeiramente diferentes e adicionem extensões de arquivo diferentes aos arquivos criptografados, elas têm duas coisas em comum: todas as amostras de ransomware DoDo foram criadas usando o Chaos Builder versão 3, que foi lançado em meados de 2021, e eles todos usam o mesmo endereço Bitcoin para receber pagamentos de resgate. O Chaos ransomware Builder 3 tem a desvantagem de só poder criptografar arquivos menores que 1 MB. Arquivos maiores que isso são substituídos e considerados irrecuperáveis, a menos que os backups permaneçam intactos. Isso realmente significa que o DoDo funciona como um limpador de arquivos maiores, porque o invasor não pode recuperar todos os seus arquivos, mesmo que o pagamento do resgate seja feito.
As variantes mais antigas do ransomware DoDo lançaram uma nota de ransomware chamada “dodov2_readit.txt” e adicionaram uma extensão “.dodov2” aos arquivos criptografados. O pedido de resgate é de US$ 15 em Bitcoin ou Monero (XMR).
Figura 3: Nota de resgate descartada pelas variantes mais antigas do ransomware DoDo
Figura 4: Arquivos criptografados pelas amostras mais antigas do ransomware DoDoEm contraste, as amostras recentes do ransomware DoDo lançam uma nota de resgate chamada “PLEASEREAD.txt”, adicionam uma extensão “.crypterdodo” aos arquivos criptografados e substituem o papel de parede da área de trabalho pela mesma mensagem de resgate. O pedido de resgate ainda vale US$ 15 em Bitcoin ou Monero (XMR). O invasor também incluiu um endereço de e-mail de contato, provavelmente para melhor atendimento ao “cliente”. Além disso, o endereço Monero é diferente das variantes mais antigas.
Figura 5: Nota de resgate descartada pelas amostras recentes do ransomware DoDo
Figura 6: Arquivos criptografados pelas amostras recentes do ransomware DoDo
Figura 7: Papel de parede da área de trabalho substituído pelas amostras recentes do ransomware DoDoO endereço Bitcoin usado pelo ransomware DoDo teve mais de 40 transações desde maio de 2022. No entanto, a maioria das transações recebidas foi inferior a US$ 10, levantando questões sobre se eram pagamentos de resgate. Os endereços Monero não estavam disponíveis no momento da nossa investigação.
Visão geral do Proton Ransomware
Proton é um ransomware relatado recentemente, projetado para criptografar arquivos na plataforma Windows e exigir pagamentos de resgate das vítimas para recuperar seus arquivos afetados.
Vetor de infecção
As informações sobre o vetor de infecção usado pelo ator da ameaça Proton ransomware não estão disponíveis no momento. No entanto, não é provável que seja significativamente diferente de outros grupos de ransomware.
As amostras do ransomware Proton foram enviadas para um serviço público de verificação de arquivos nos seguintes locais:
- Estados Unidos
- Itália
- Índia
- China
- Coréia
- Estônia
- Holanda
- Alemanha
- Rússia
- Ucrânia
Embora não haja nenhuma indicação de que o ransomware Proton seja generalizado, esta lista mostra que os invasores têm meios para distribuir ransomware em diferentes partes do mundo.
Execução de ransomware
Uma vez executado, o ransomware Proton criptografa arquivos nas máquinas das vítimas e adiciona uma extensão “.[o endereço de e-mail de contato do invasor].Proton” aos arquivos afetados. Ele também altera o ícone dos arquivos criptografados e descarta uma nota de resgate chamada “#[ID exclusivo atribuído a cada vítima].txt” ao substituir o papel de parede da área de trabalho da vítima.
Figura 8: Arquivos criptografados pelo ransomware Proton
Figura 9: Nota de resgate descartada pelo ransomware Proton
Figura 10: Papel de parede da área de trabalho substituído pelo ransomware ProtonO ransomware Proton tem várias variantes menores, a maioria adicionando diferentes endereços de e-mail de contato como parte das extensões de arquivo adicionadas aos arquivos criptografados. Abaixo está uma lista dos endereços de contato que o invasor incluiu nas notas de resgate:
- .[filesupport@[redigido]].Proton
- .[vpsadminmain12@[redigido]].Proton
- .[helpdec10@[redigido]].Proton
- .[contact.encryptor@[redigido]].Proton
- .[DoraRec@[redigido]].Próton
- .[RecoverProtonData@[redigido]].Proton
Durante nossa pesquisa, o FortiGuard Labs encontrou o que parece ser a primeira amostra do ransomware Proton (SHA2: f36dda3b97266a6a30d905c73e1f8a45c4b6681e81fb2f8f59b622de899c4421), que foi lançado no final de março de 2023. Embora a nota de resgate se autodenomina "Proton", ela não usa um ". Extensão de arquivo próton". Em vez disso, o exemplo usa "Kigatsu@[redigido][ID exclusivo da vítima].kigatsu". A nota de resgate inclui o Telegram ID do invasor, que não é visto nas notas de resgate recentes. Conforme mostrado abaixo, esta variante não substitui o ícone do arquivo criptografado pelo logotipo exclusivo do Proton.
Figura 11: Arquivos criptografados possivelmente pela primeira amostra de ransomware Proton
Figura 12: Nota de resgate descartada possivelmente pela primeira amostra de ransomware ProtonOutra variante do ransomware Proton foi submetida a um serviço público de verificação de arquivos no final de junho. Esta variante (SHA2: 3a86c8c0e96ef1984177c41c87dec40fe0df3fe71b8ef951063312010c86c9bb) usa um endereço de e-mail semelhante e o mesmo ID de telegrama que a amostra de ransomware Proton mais antiga, mas adiciona ".[endereço de e-mail do invasor].Proton" aos arquivos criptografados e também altera seu ícone de arquivo.
Figura 13: Arquivos criptografados por 3a86c8c0e96ef1984177c41c87dec40fe0df3fe71b8ef951063312010c86c9bb
Figura 14: Nota de resgate descartada por 3a86c8c0e96ef1984177c41c87dec40fe0df3fe71b8ef951063312010c86c9bbCom base nestas observações, acreditamos que o invasor fez alguns esforços para melhorar o funcionamento deste ransomware desde o seu início.
Proteções Fortinet
Os clientes Fortinet já estão protegidos contra esta variante de malware através dos serviços AntiVirus e FortiEDR, como segue:
O FortiGuard Labs detecta variantes conhecidas de ransomware DoDo com as seguintes assinaturas AV:
- MSIL/Filecoder.8878!tr.ransom
- MSIL/Filecoder.AGP!tr.ransom
O FortiGuard Labs detecta variantes conhecidas do ransomware Proton com as seguintes assinaturas AV:
- W64/Filecoder.PRTN!tr.ransom
- W32/Generic.AC.171!tr
- W32/Agent_AGen.APM!tr.ransom
O serviço FortiGuard AntiVirus é suportado por FortiGate, FortiMail, FortiClient e FortiEDR. Os clientes Fortinet EPP que executam atualizações atuais do AntiVirus também estão protegidos.
COIs
IOCs baseados em arquivo:
|
SHA2 |
Programas maliciosos |
|
8727091cbb89e5e31eeb2503ffaa242601c8840eee0973fd62fedf1b4b58ab44 |
DoDo Ransomware |
|
f912cd2a6cd21e828dc32b97eac0ce9b2c4e8d5a7944deaa4bd61f41ab8e1997 |
|
|
aee45cc2540d49a28e765c30f1c4d0b853c1a74ea2260bd7614ece8e54c3bcb3 |
|
|
8d76a9a577ea5ad52555a2824db6f5872548fe4bcc47d476cae57603386c4720 |
|
|
464d6aa8389dad3aebc36f748f6687cb57432ee791b84ff18b3dd5a342ce23a0 |
Ransomware próton |
|
506dc9f186f820b5e1d39e5f553949415ced6c34d1ef4f4f723ce9d6558cfc5d |
|
|
877a01b2b6b79572100ba61d799d08569063910a7f56e199bf4805cf0943e140 |
|
|
31485a7ce7e5b4ae39ee06c8c425fe9090d1520b062b4941ad37233cc4851fe6 |
|
|
9adae78f48f24419b6f8a895c1244a1576a4c7fe73e9bc32136893630ce735bd |
|
|
b7fbf5561006e41d56bde9e26895c8be3a3853436870e86f6929f51b719089d9 |
|
|
8fa93ce6b9dcf00ecf853f266f68aa033b057187c2061b950367c9ec9891571e |
|
|
e43db9691d7947f7edadb0f9ae8317301aeaea7604f74e69dbcb4b23420e4cbe |
|
|
6a8ef9185b85490a258eda096777ba0805394e587cf8a0f8f800b87e0594edca |
|
|
077621c13e3688eb4959b66a1f6f18f3791e5d869e8f064a72498d70b2e36727 |
|
|
39b8c17d79733974ced9a4beeb112d888174b7addca6cea008eea3846fa33658 |
|
|
3a86c8c0e96ef1984177c41c87dec40fe0df3fe71b8ef951063312010c86c9bb |
|
|
f36dda3b97266a6a30d905c73e1f8a45c4b6681e81fb2f8f59b622de899c4421 |
Orientação do Laboratório FortiGuard
Devido à facilidade de interrupção, aos danos às operações diárias, ao impacto potencial na reputação de uma organização e à destruição ou divulgação indesejada de informações de identificação pessoal (PII), etc., é vital manter todas as assinaturas AV e IPS atualizadas.
Como a maioria dos ransomware é entregue via phishing, as organizações devem considerar aproveitar as soluções da Fortinet projetadas para treinar os usuários a compreender e detectar ameaças de phishing:
O serviço de simulação de phishing FortiPhish usa simulações do mundo real para ajudar as organizações a testar a conscientização e a vigilância dos usuários em relação a ameaças de phishing e para treinar e reforçar práticas adequadas quando os usuários encontram ataques de phishing direcionados.
Nosso treinamento NSE GRATUITO : NSE 1 – Conscientização sobre segurança da informação inclui um módulo sobre ameaças da Internet projetado para ajudar os usuários finais a aprender como identificar e se proteger contra vários tipos de ataques de phishing e pode ser facilmente adicionado a programas de treinamento internos.
As organizações precisarão fazer mudanças fundamentais na frequência, localização e segurança de seus backups de dados para lidar com eficácia com o risco crescente e em rápida expansão do ransomware. Quando combinado com o comprometimento da cadeia de fornecimento digital e uma força de trabalho em teletrabalho na rede, existe um risco real de que os ataques possam vir de qualquer lugar. Soluções de segurança baseadas em nuvem, como SASE , para proteger dispositivos fora da rede; segurança avançada de endpoint, como soluções EDR (detecção e resposta de endpoint) que podem interromper o ataque de malware no meio do ataque; e acesso de confiança zero e estratégias de segmentação de rede que restringem o acesso a aplicações e recursos com base em políticas e contexto, devem ser investigadas para minimizar o risco e reduzir o impacto de um ataque de ransomware bem-sucedido.
Como parte do Security Fabric totalmente integrado líder do setor , que oferece sinergia nativa e automação em todo o seu ecossistema de segurança, a Fortinet também fornece um extenso portfólio de tecnologia e ofertas como serviço baseadas em humanos. Esses serviços são desenvolvidos por nossa equipe global FortiGuard de especialistas experientes em segurança cibernética.
As melhores práticas incluem não pagar resgate
Organizações como CISA, NCSC, FBI e HHS alertam as vítimas de ransomware contra o pagamento de resgate, em parte porque o pagamento não garante que os arquivos serão recuperados. De acordo com um comunicado do Escritório de Controle de Ativos Estrangeiros (OFAC) do Departamento do Tesouro dos EUA , os pagamentos de resgate também podem encorajar os adversários a atacar organizações adicionais, encorajar outros atores criminosos a distribuir ransomware e/ou financiar atividades ilícitas que poderiam ser potencialmente ilegais. Para organizações e indivíduos afetados por ransomware, o FBI tem uma página de reclamação de ransomware , onde as vítimas podem enviar amostras de atividades de ransomware por meio do Centro de reclamações de crimes na Internet (IC3).
