Malware Dridex se destaca diante do aumento global de ataques de ransomware

Mudanças no ranking de ameaças à segurança cibernética foram detectadas por pesquisadores da Check Point Research (CPR), braço de Inteligência em Ameaças da Check Point® Software Technologies Ltd. Isso faz parte do Índice Global de Ameaças referente ao mês de abril de 2021. Os pesquisadores relatam que, pela primeira vez, o AgentTesla aparece em segundo lugar na lista, enquanto o cavalo de Troia Dridex mantém-se como o malware predominante, tendo subido para o primeiro lugar em março e depois de ser o sétimo na lista de fevereiro. Portanto, de acordo om a Check Point, o malware Dridex se destaca diante do aumento global de ataques de ransomware.

Em abril, o Dridex, um cavalo de Troia que tem como alvo a plataforma Windows, se espalhou por meio da campanha QuickBooks Malspam. Os e-mails de phishing usavam a marca QuickBooks e tentavam atrair o usuário com notificações de pagamento e faturas falsas. O conteúdo do e-mail solicitava o download de um anexo malicioso do Microsoft Excel que poderia fazer com que o sistema fosse infectado por este malware. 

O Dridex é frequentemente usado como o estágio inicial de infecção em operações de ransomware, nas quais os cibercriminosos criptografam os dados de uma organização e exigem um resgate para descriptografá-los. Cada vez mais, esses atacantes estão usando métodos de extorsão dupla, em que roubam dados confidenciais de uma organização e ameaçam divulgá-los publicamente, a menos que seja feito um pagamento de resgate.  

Malware Dridex se destaca diante do aumento global de ataques de ransomware

A Check Point Research (CPR) relatou em março que os ataques de ransomware tiveram um aumento de 57% no início de 2021, mas essa tendência de alta acentuada continuou e completou um crescimento de 107% em relação ao período equivalente do ano passado. Mais recentemente, a Colonial Pipeline, a maior operadora de oleodutos para produtos refinados dos Estados Unidos, foi vítima desse tipo de ataque e, em 2020, estima-se que o ransomware custou às empresas em todo o mundo cerca de US$ 20 bilhões – um valor quase 75% maior que em 2019. 

No início de abril, a CPR também observou que 1.000 organizações no mundo são afetadas por ransomware por semana. O setor que atualmente sofre com o maior número de tentativas de ataque de ransomware no mundo é o da saúde, com uma média de 109 ataques por organização a cada semana. Em segundo e terceiro lugares, encontram-se os setores das Utilities e o setor judiciário, com 59 e 34 ataques semanais por organização. Em nível nacional, em abril, a porcentagem de organizações brasileiras impactadas por um ataque de ransomware superou a média global: 3,1% e 2%, respectivamente. 

Campanhas do AgentTesla 

Pela primeira vez, o AgentTesla classificou-se em segundo lugar na lista global de malware. O AgentTesla é um trojan de acesso remoto avançado (RAT, Remote Access Trojan) que está ativo desde 2014 e funciona como keylogger e ladrão de senhas. Este RAT pode monitorar e coletar a entrada do teclado da vítima e a área de transferência do sistema, e pode gravar capturas de tela e exfiltrar credenciais inseridas para uma variedade de software instalado na máquina da vítima (incluindo Google Chrome, Mozilla Firefox e cliente de e-mail Microsoft Outlook).  

Em abril, houve um aumento nas campanhas do AgentTesla que se espalharam via malspam. O conteúdo do e-mail está solicitando o download de um arquivo (pode ser qualquer tipo de arquivo) que pode fazer com que o sistema seja infectado pelo Agente Tesla. 

“Embora estejamos testemunhando um grande aumento nos ataques de ransomware em todo o mundo, não é nenhuma surpresa que o principal malware de abril esteja relacionado a essa tendência. Em média, a cada dez segundos globalmente, uma organização se torna vítima de ransomware”, afirma Maya Horowitz, diretora de Pesquisa de Inteligência de Ameaças da divisão Check Point Research (CPR).  

Recentemente, houve pedidos para que os governos fizessem mais com relação a essa ameaça crescente, mas ela não mostra sinais de desaceleração. Todas as organizações precisam estar cientes dos riscos e garantir que as soluções anti-ransomware adequadas estejam disponíveis. Treinamento abrangente para todos os funcionários também é crucial, para que eles estejam aptos e com as habilidades necessárias para identificar os tipos de e-mails maliciosos que espalham Dridex e outros malwares, já que é assim que muitas explorações de ransomware começam, conclui Maya. 

A CPR também revelou que, em abril, a “Web Server Exposed Git Repository Information Disclosure” foi a vulnerabilidade mais comum explorada, impactando 46% das organizações globalmente, seguida por “HTTP Headers Remote Code Execution (CVE-2020-13756)” que afetou 45,5% das organizações em todo o mundo . A “MVPower DVR Remote Code Execution” ocupou o terceiro lugar na lista de vulnerabilidades mais exploradas, com um impacto global de 44%. 

Principais famílias de malware 

Em abril, o Dridex continuou sendo o malware mais popular, com um impacto global de 15% das organizações, seguido pelo AgentTesla e o Trickbot, impactando 12% e 8% das organizações em todo o mundo, respectivamente.

1. Dridex – Um cavalo de Troia bancário direcionado à plataforma Windows e é distribuído via campanhas de spam e kits de exploração, baixado por meio de um anexo de e-mail de spam. O Dridex contata um servidor remoto, envia informações sobre o sistema infectado e também pode baixar e executar módulos arbitrários sob comando. As infecções por Dridex geralmente servem como pontos de apoio iniciais em ataques de ransomware em toda a empresa. 

2. AgentTesla – É um RAT (Remote Access Trojan) avançado que funciona como um keylogger e ladrão de informações, capaz de monitorar e coletar as entradas do teclado da vítima, o teclado do sistema, tirar capturas de tela e filtrar credenciais para uma variedade de software instalado na máquina da vítima (incluindo o Google Chrome, Mozilla Firefox e o cliente de e-mail do Microsoft Outlook).