Herói acidental? Quem 'parou' o ataque do ransomware WannaCrypt

Por Paulo Alves

Em 15/05/2017 no site TechTudo

As maiores equipes de segurança da informação do mundo estão investigando o WannaCrypt — malware que atingiu várias empresas e instituições na última sexta-feira (12). No entanto, a ameaça foi parada (mas não totalmente) por um desconhecido. Um jovem que atende por @malwaretechblog no Twitter pausou a infecção do ransomware e impediu que o ataque se espalhasse por mais países.

O britânico de 22 anos, que não quer ter o nome revelado, trabalha em uma empresa americana de inteligência contra ameaças. Ele teria desativado o WannaCrypt após descobrir um domínio (endereço de internet) associado à propagação do malware. Para seguir contaminando mais computadores, o vírus verificava se este site estava no ar ou não.

Eu dei uma olhada rápida, consegui uma amostra do malware, e percebi que ele estava conectando a um domínio específico não registrado

“Eu dei uma olhada rápida [nos ataques], consegui uma amostra do malware e percebi que ele estava conectando a um domínio específico não registrado. Então eu fui lá e registrei [o domínio]”, conta. Para isso, recebeu ajuda de um técnico da empresa de segurança Proofpoint.

O rapaz comprou o domínio por US$ 10,69 (equivalente a R$ 33). Segundo ele, a empresa na qual trabalha costuma comprar domínios envolvidos em ataques cibernéticos para fins de investigação. É comum que esses endereços indiquem o modo de funcionamento de um vírus.

De início, o jovem chegou a ser acusado de ter iniciado o ataque a servidores do mundo todo por conta de seu vínculo com o domínio gravado no malware. No entanto, depois, ele percebeu que se tratava do inverso: ao registrar e tomar posse do endereço, ele ativou um mecanismo de pausa no processo de propagação do WannaCrypt.

"A intenção era apenas monitorar a propagação e ver se poderíamos fazer algo sobre isso mais tarde. Mas, realmente, acabei impedindo [o ransomware] de se espalhar apenas registrando o domínio", afirmou.

Investigando mais a fundo, @malwaretechblog descobriu por que isso tudo aconteceu. O WannaCrypt tinha uma espécie de mecanismo de desligamento proposital vinculado a um domínio estranho. Se os criminosos que criaram a ameaça quisessem inutiliza-la a qualquer momento, bastaria registrar o endereço de forma anônima. Aparentemente, os hackers não contavam que alguém iria descobrir o nome do domínio escondido no código do WannaCrypt tão cedo.

Entretanto, caso os PCs estejam em rede interna, mas não conectados à Internet no momento da infecção, fazendo uso de proxy ou outra particularidade, é possível que o vírus siga se alastrando, já que não será possível acessar o domínio registrado. Versões sem a verificação online também podem circular, perpetuando o ciclo do ransomware.

Ransomware

Ransomware é um tipo de ameaça que sequestra os dados do computador, criptografa arquivos pessoais e pede resgate — normalmente em bitcoins, difíceis de serem rastreados. No caso do WannaCrypt, há também um componente extra que torna uma máquina infectada um ponto de distribuição do malware em uma rede.

Mapa da Kaspersky mostra países afetados pelo WannaCrypt (Foto: Reprodução/Kaspersky)

Ao entrar em um computador de uma instituição com rede fechada, potencialmente todos os PCs Windows vulneráreis são atingidos. Segundo a Kaspersky Lab, foram registrados mais de 45 mil ataques em 74 países, incluindo o Brasil. Por sorte, a ação do jovem acabou impedindo que o problema atingisse mais computadores nos Estados Unidos. Com a diminuição das infecções, empresas e o governo do país norte-americano tiveram tempo suficiente para atualizar as máquinas.

A Microsoft confirmou que o WannaCrypt tem origem em armas cibernéticas da NSA (Agência de Segurança Nacional, dos Estados Unidos), que teriam sido roubadas por hackers no início deste ano.

Ainda não acabou

Ainda é preciso se preocupar. Afinal, o funcionamento do vírus foi desativado por algo implementado propositalmente pelos criadores. “Isso não acabou. Os hackers vão perceber como nós os paramos e vão mudar o código. Em seguida, vai começar tudo de novo”, alertou o jovem.

Por enquanto, a única medida de precaução contra o WannaCrypt é atualizar o Windows imediatamente. O malware explora uma falha corrigida pela Microsoft desde março, mas computadores desatualizados seguem expostos. Para resolver, basta ativar o Windows Update.

Via The Guardian

Brasil se mantém no topo da lista de ataque do Adylkuzz, o sucessor do WannaCry

Por Convergência Digital em 17/05/2017.

O Brasil segue no topo da lista dos países atacados pela variante do WannaCry, o Adylkuzz, descoberto nesta quarta-feira, 17/05, em vários países. Segundo dados da Avast, o novo worm invade os PCs por meio da mesma vulnerabilidade utilizada pelo WannaCry, que infectou mais de 300 mil PCs, em 116 países, desde a última sexta-feira, 12 de maio.

Mas de acordo com a empresa de segurança, o Adylkuzz tem uma finalidade diferente: utilizar o poder de computação do PC infectado para fazer a 'mineração' de criptomoedas. O número de máquinas infectadas no mundo é elevado, já que o primeiro malware desse tipo foi bloqueado pela Avast em 23 de Abril, numa máquina da Ucrânia, conta Jakub Kroustek, especialista que ocupa o cargo de Threat Lab Team Lead da empresa.

"Nossas estatísticas preliminares mostram que houve mais de 88.000 ataques bloqueados desde o primeiro incidente até agora", detalha Jakub Kroustek. Os países mais visados, segundo ele, são basicamente os mesmos atingidos no surto do WannaCry sexta-feira passada, com a Rússia, Ucrânia e Taiwan nos três primeiros lugares da lista, seguidos pelo Brasil e Índia, que também foram grandes alvos do WannaCry.

No momento, revela a Avast, o malware Adylkuzz está focado exclusivamente na mineração do Monero, um tipo de criptomoeda semelhante ao Bitcoin, explica Kroustek: "A mineração de criptomoedas é um negócio legítimo, mas para fazer isso em larga escala é preciso dispor de um forte poder de computação. Existem pessoas que utilizam grandes 'server farms' para ganhar dinheiro com mineração de Bitcoins e de outras criptomoedas. Mas a utilização dessas 'server farms' requer um alto investimento financeiro tanto para a infra-estrutura quanto para pagar a eletricidade”, explica.

Os autores do Adylkuzz querem justamente contornar esses custos usando os PCs existentes de usuários aleatórios, que infectam para usar seu poder de computação sem que os donos saibam, acrescenta Kroustek: “Claro que eles querem tirar proveito dos recursos do sistema do computador infectado pelo maior tempo possível. Portanto, o Adylkuzz fica sendo executado em segundo plano, sem que o usuário perceba nada além do fato de que seu sistema estará rodando mais lento. Esta não é a primeira vez que vemos criminosos infectarem dispositivos para fazer mineração de criptomoedas. Em 2014 registramos casos de malware sequestrando gravadores de vídeo digital (DVRs), para fazerem a mineração de Litecoins", detalha.

O Adylkuzz usa os implantes (códigos de exploração de uma vulnerabilidade) DoublePulsar e EternalBlue de Windows para se espalhar, e portanto é focado apenas em máquinas que utilizam o Windows. Esses dois implantes também são utilizados pelo ransomware WannaCry e originalmente foram criados pelo grupo hacker EquationGroup, que está firmemente conectado à NSA (Agência Nacional de Segurança dos EUA), para explorar a vulnerabilidade MS17-010 no protocolo Server Message Block (SMB), um protocolo de compartilhamento de arquivos nativo do Windows.

Neste momento, sustenta ainda a Avast, os dispositivos móveis não estão em risco, já que o malware é programado para atacar ambiente Windows. Importante ressaltar que não se trata de um ransomware – ele abusa dos recursos do sistema operacional para minerar criptomoedas, de modo que não há nenhuma exigência de resgate.

Como se proteger contra ransomware

Da Redação CIO, com IDG News Service 

Publicada em 15 de maio de 2017 

Perder o acesso a seus arquivos, sejam fotos preciosas ou documentos comerciais, é algo que esperamos que você nunca experimente. Mas se o pior acontecer e seu PC ou celular acabar infectado com WannaCry, CryptoLocker ou algum outro ransomware, o que você deve fazer?

 Será que os hackers realmente honram o pagamento e entregam uma chave de descriptografia? 

Aqui está o que sabemos, como se proteger contra ransomware, e o que o FBI aconselha às vítimas.

Ransomware scams: pagar ou não pagar 

Antes que um  ransomware, chamado Wanna Decryptor ou WannaCry, atingisse empresas do mundo inteiro na última  sexta-feira, derrubando parte de sua rede, algumas empresas já haviam experimentado o desabor de lidar com o problema. 

Em 2016 um hospital em Hollywood ganhou as manchetes depois que admitiu ter pago quase 17mil para recuperar arquivos críticos, incluindo dados do paciente. Segundo relatos, os criminosos destrancam os arquivos do hospital e tudo estava bem apenas 10 dias após o ataque.

Mas não há garantias de que os criminosos por trás de todas as variantes ransomware façam o mesmo. Se você pagar, você corre o risco de não receber nada em troca.

Ninguém está completamente certo da probabilidade exata de obter seus arquivos de volta se você optar por entregar o dinheiro (ou, mais tipicamente, Bitcoins).

Além disso, as empresas raramente admitem pagar resgates, porque isso também admite que sua rede foi comprometida em primeiro lugar.

Ferramentas de descodificação de ransomware grátis

Normalmente, o resgate cobrado envolver várias centenas de dólares, o que é mais barato do que empregar uma empresa de recuperação de dados para tentar decifrar os arquivos. Mas antes de você pagar alguém, verifique se há uma ferramenta livre disponível, capaz de recuperar o que foi perdido.

A Kaspersky, por exemplo, tem um decifrador de ransomware que trabalha com o Coinvault e o Bitcryptor. Há outra ferramenta que funciona com arquivos criptografados com Teslacrypt .

Se você é uma vítima de Locker, então veja este tópico em Pastebin.

A primeira tarefa, então, é descobrir qual o malware exato criptografou seus arquivos e, em seguida, pesquisar  para ver se uma ferramenta de descriptografia está disponível.

Se não, verifique se você tem backups atualizados o suficiente para evitar ter que pagar o resgate.

E se você não tem backups, o conselho do FBI - incrivelmente - é ir em frente e pagá-lo. Diz que é frequentemente a maneira mais rápida e mais barata de resolver o problema, mas nem todos concordam.

Existem duas principais escolas de pensamento. A primeira é que os cibercriminosos querem tornar tão fácil quanto possível o pagamento e a obtenção da sua chave de descriptografia. Afinal, eles querem outras pessoas pagando també,. Então, o processo precisa funcionar. Assim, se voc6e seguir as instruções quando ao ver o resgate na tela e você obterá seus dados de volta. Mas isso também pode torná-lo presa fácil de outros ataques.

Mesmo que você obtenha uma chave ou alguma ferramenta para descriptografar seus arquivos, ainda asssim você não estará seguro. Os criminosos ainda podem ter acesso à sua máquina e mantê-la para solitação de um novo resgate.

Aqueles que aconselhariam você a não pagar também alertaram contra crenças como o caso do hospital de Hollywood, já que os criminosos irão muito longe para postar falsos depoimentos sobre como descifrar arquivos com sucesso para persuadir as vítimas a pagarem.

Como proteger contra ransomware

Se você estiver lendo isso tendo sofrido um ataque ransomware, o seguinte conselho provavelmente vem tarde demais. Mas se você não tiver, há várias coisas que você deve fazer:

1 - Fazer backups regulares de todos e qualquer arquivo que você não pode perder. Não assuma que os backups em nuvem ou o armazenamento em nuvem são imunes a ransomware: muitos serviços sincronizam arquivos com aqueles no seu disco rígido e poderiam sobrescrever arquivos não criptografados por outros, mais novos, criptografados. O melhor plano é fazer vários backups que incluem cópias em discos rígidos ou em qualquer mídia que não esteja conectada a um computador ou à Internet. Um disco rígido USB portátil é o ideal.

2 - Mantenha o seu antivírus e software de segurança da Internet atualizado e certifique-se de que você está usando o software que pode proteger contra todos os tipos de malware, incluindo ransomware. Leia o PC Advisor's up-to-date independente Melhores análises antivírus .

3 - Seja cada vez mais vigilante sobre quais anexos de e-mail você abre e links que você clica. Ransomware geralmente depende de vulnerabilidades humanas, em vez de apenas fraquezas no software de segurança. Mesmo que um e-mail ou anexo seja de uma pessoa conhecida, ou do seu provedor de serviços, verifique se ele é genuíno. Em caso de dúvida, não abra o e-mail, muito menos abra um anexo ou clique em um link que supostamente o levará a uma página onde você pode inserir seus dados bancários.

Veja também pode ler: Como se proteger de CryptoLocker, GoZeus e outros ransomware.

Para obter mais informações sobre os golpes mais recentes, consulte Como evitar ser enganado.

- See more at: http://cio.com.br/gestao/2017/05/15/como-se-proteger-contra-ransomware/#sthash.Tyi6alXu.dpuf

Windows desatualizado abriu brecha para megaataque de ransomware

Ana Paula Lobo ... 12/05/2017 ... Convergência Digital

O WanaCruptOr, uma variante do WCry/WannaCry, causou um grande estrago nesta sexta-feira, 12/05, e tem, segundo o especialista da Kaspersky Brasil, Fabio Assolini, a mesma relevância mundial do worm Conficker que, em 2008, atingiu milhares de servidores de empresas e ainda circula no mundo. "Foram detectados 46 mil ataques em poucas horas em 74 países. As empresas atingidas estavam com o Windows desatualizado. A brecha explora uma vulnerabilidade do Windows", relata Assolini, em entrevista ao portal Convergência Digital.

Segundo ele, o WannaCry é um ransomware que tem características de um worm e foi criado para explorar as vulnerabilidades dos ambientes corporativos ligados em rede TCP/IP. "Posso assegurar que quem instalou o patch MS 17010, lançado pela Microsoft em março, não foi atingido. O problema é que muitas empresas fazem testes de atualização com receito de ter conflito na rede. E nesse período, a brecha se abriu para o cibercrime", detalha Assolini.

GNU

Os servidores e PCs com o sistema operacional GNU (kernel Linux) neste momento, estão fora do radar do WannaCry, acrescenta ainda o especialista da Kaspersky. O estrago provocado pelo WannaCry pode incentivar as empresas a renovarem seu parque de sistema operacional, acredita Assolini. mas isso é válido tanto para quem estava fora das atualizações da Microsoft, quanto quem estudava abandonar o GNU.

Na Inglaterra, por exemplo, o hospital atacado ainda utilizava o Windows XP." Há empresas no mundo, e o Brasil está nele, que ainda usam o XP, mesmo ele estando morto e enterrado pela Microsoft", lamenta Assolini. O especialista garante: quem instalar a patch de segurança MS 17010 está protegido. "Instalou a atualização fechou a porta para a brecha. Fechou a porta para o cibercriminoso".

Questionado se o ataque em massa acabou, Assolini assegura que não. "Enquanto tiver brecha, o WannaCry vai atacar, como o Conficker ainda atua até hoje apesar do forte estrago que causou", diz. E para as empresas atacadas e que tiveram seus dados roubados, Assolini é taxativo: não paguem resgate. E ele detalha o porquê dessa atitude.

"Pode-se pagar e não levar porque o criminoso não tem ética. Você pode pagar e o criminoso iniciar um processo de chantagem sem fim. Você pode pagar e não significa que não será atacado novamente. Se pagar, há o incentivo para que os criminosos continuem agindo. E especialmente: é possível recuperar os arquivos sem pagar resgate. Basta investir em componentes de segurança", completa Assolini.

Mega ataque de ransomware pode ter usado ferramenta de exploit da NSA

Da Redação, com Computerworld/EUA

Em 12/05/2017 no site IDGNow

Um ataque de ransomware parece estar se espalhando pelo mundo, usando uma ferramenta de hacking que pode ter vindo da Agência de Segurança Nacional dos EUA. O ransomware, chamado Wanna Decryptor, atingiu hospitais no National Health Service da Inglaterra, nessa sexta-feira, 12/5, derrubando parte de sua rede.

A equipe de resposta de computador da Espanha, a CCN-CERT, também alertou sobre um "ataque maciço", em meio a relatos de que a empresa de telecomunicações local Telefonica foi atingida. 

Funcionários da Telefonica reportaram que foram orientados a desligar seus computadores. E que o problema teria afetado também os sistemas da seguradora espanhola Mapfre, do banco BBVA e até alguns funcionários da Telefonica no Brasil - funcionários de outras empresas brasileiras também relatam ter sido atingidos pelo ataque.

"A Telefônica Brasil informa que seus serviços não foram afetados pelo incidente. A empresa informa também que os dados dos clientes estão absolutamente seguros e que eles podem continuar usando os serviços normalmente", afirmou a empresa em nota enviada ao IDG Now!.

O ransomware, também conhecido como WannaCry, explora uma vulnerabilidade do Windows divulgada no mês passado quando ferramentas de hacking usadas pela NSA vazou na internet.

Segundo a Kaspersky, o ataque já afetou mais de 45 mil computadores em mais de 70 países pelo mundo, incluindo Brasil e EUA, além de diversos locais da Europa.

As ferramentas incluem uma invasão de codinome EternalBlue, que torna o sequestro de sistemas Windows mais fácil. Ela se destina especificamente ao protocolo Server Message Block (SMB) no Windows, utilizado para fins de compartilhamento de arquivos.

A Microsoft já corrigiu a vulnerabilidade, mas apenas para sistemas Windows mais recentes. Os antigos, como o Windows Server 2003, não são mais suportados, mas ainda são amplamente utilizados entre as empresas, de acordo com especialistas em segurança.

Isso pode ter animado os hackers. O desenvolvedor do Wanna Decryptor parece ter adicionado as supostas ferramentas hackers da NSA ao código do ransomware, disse Matthew Hickey, diretor do provedor de segurança, em um e-mail.

A empresa de segurança Avast disse ter detectado o ransomware atacando principalmente a Rússia, Ucrânia e Taiwan. Outra empresa de pesquisa de segurança, MalwareTech, criou uma página de monitoramento dos ataques. Eles parecem ter ido para todo o mundo.

O ransomware Wanna Decryptor  ataca criptografando todos os arquivos em um PC infectado, juntamente com qualquer outro sistema na rede onde o PC está conectado. Em seguida, exige um resgate de cerca de US$300 a US$600 em bitcoin para liberar os arquivos, ameaçando excluí-los após um período definido de dias se o montante não for pago.

Especialistas em segurança estão orientando as organizações a corrigirem  sistemas vulneráveis, atualizar para as versões mais recentes seus sistemas operacionais e fazer backups de arquivos críticos.