Conheça os piores malwares da atualidade

Já se foi o tempo em que grupos de ransomware operavam lançando campanhas de spam em massa por e-mail na esperança de infectar usuários aleatórios na Internet.

Hoje, os operadores de ransomware evoluíram de um nicho de gangues de malware desajeitadas para uma série de cartéis de crimes cibernéticos complexos com habilidades, ferramentas e orçamentos de grupos de hackers patrocinados pelo governo.

Assim, as gangues de ransomware contam com parcerias de vários níveis com outras operações do crime cibernético. Chamados de “corretores de acesso inicial “, esses grupos operam como a cadeia de suprimentos do submundo do crime. Fornecem às gangues de ransomware (e outras) acesso a grandes coleções de sistemas comprometidos.

Consistindo em endpoints RDP hackeados, dispositivos de rede backdoor e computadores infectados por malware, esses sistemas permitem que gangues de ransomware obtenham acesso facilmente a redes corporativas, aumentem seu acesso e criptografem arquivos para exigir resgates enormes.

Esses corretores de acesso inicial são uma parte crucial do cenário do crime cibernético.

Hoje, três tipos de corretores se destacam como as fontes da maioria dos ataques de ransomware:

• Vendedores de endpoints RDP comprometidos:  gangues de crimes cibernéticos estão atualmente realizando ataques de força bruta contra estações de trabalho ou servidores configurados para acesso RDP remoto que também foram deixados expostos na Internet com credenciais fracas. Esses sistemas são posteriormente vendidos nas chamadas “lojas RDP”, de onde gangues de ransomware geralmente selecionam sistemas que acreditam estar localizados dentro da rede de um alvo de alto valor.
• Vendedores de dispositivos de rede hackeados:  gangues do crime cibernético também estão usando exploits para vulnerabilidades conhecidas publicamente para assumir o controle dos equipamentos de rede de uma empresa, como servidores VPN, firewalls ou outros dispositivos periféricos. O acesso a esses dispositivos e às redes internas que eles protegem / conectam é vendido em fóruns de hackers ou para gangues de ransomware diretamente.
• Vendedores de computadores já infectados com malware:  muitos dos botnets de malware atuais frequentemente vasculham os computadores que infectam em busca de sistemas em redes corporativas e, em seguida, vendem o acesso a esses sistemas de alto valor para outras operações do cibercrime, incluindo gangues de ransomware.

A proteção contra esses três tipos de vetores de acesso costuma ser a maneira mais fácil de evitar o ransomware.

No entanto, embora a proteção contra os dois primeiros normalmente envolva praticar boas políticas de senha e manter o equipamento atualizado, o terceiro vetor é mais difícil de proteger.

Isso ocorre porque os operadores de botnet de malware muitas vezes dependem da engenharia social para enganar os usuários para que instalem malware em seus próprios sistemas, mesmo se os computadores estiverem executando softwares atualizados.

Este artigo enfoca os tipos de malware conhecidos que foram usados nos últimos dois anos para instalar ransomware.

Conheça os piores malwares da atualidade

Compilada com a ajuda de pesquisadores de segurança da  Advanced Intelligence,  Binary Defense e  Sophos, a lista abaixo deve servir como um momento de “código vermelho” para qualquer organização.

Assim que qualquer uma dessas cepas de malware for detectada, os administradores de sistema devem abandonar tudo, colocar os sistemas offline e auditar e remover o malware como prioridade.

Emotet  é considerado o maior botnet de malware da atualidade.

Existem poucos casos em que o Emotet lidou com gangues de ransomware diretamente, mas muitas infecções de ransomware foram rastreadas até as infecções iniciais do Emotet.

Normalmente, a Emotet vendia o acesso aos seus sistemas infectados para outras gangues de malware, que mais tarde vendiam seu próprio acesso a gangues de ransomware.

Hoje, a cadeia de infecção de ransomware mais comum ligada ao Emotet é: Emotet — Trickbot — Ryuk

Trickbot é um botnet de malware e cibercrime semelhante ao Emotet. O Trickbot infecta suas próprias vítimas, mas também é conhecido por comprar acesso a sistemas infectados pelo Emotet para aumentar seu número.

Nos últimos dois anos, pesquisadores de segurança viram o Trickbot vender acesso a seus sistemas para gangues de cibercrimes que mais tarde implantaram o Ryuk e, mais tarde, o ransomware Conti.

Trickbot — Conti
Trickbot — Ryuk

O BazarLoader é atualmente considerado um backdoor modular desenvolvido por um grupo com links ou que se originou da gangue principal do Trickbot. De qualquer forma, independentemente de como eles surgiram, o grupo está seguindo o modelo de Trickbt e já fez parceria com gangues de ransomware para fornecer acesso aos sistemas que infectam.

Atualmente, o BazarLoader tem sido visto como o ponto de origem para infecções com o ransomware Ryuk [ 1, 2, 3].

BazarLoader — Ryuk

QakBot, Pinkslipbot, Qbot ou Quakbot às vezes é referido dentro da comunidade infosec como o Emotet “mais lento” porque geralmente faz o que o Emotet faz, mas alguns meses depois.

Com a gangue Emotet permitindo que seus sistemas sejam usados para implantar ransomware, o QakBot também fez parceria recentemente com diferentes gangues de ransomware. Primeiro com MegaCortex, depois com ProLock e, atualmente, com a gangue de ransomware Egregor.

QakBot — MegaCortex
QakBot — ProLock
QakBot — Egregor

SDBBot  é uma cepa de malware operada por um grupo de crimes cibernéticos conhecido como  TA505 .