Ataque de ransomware Cicada3301 atinge sistemas Windows, Linux e ESXi

O grupo de ransomware Cicada3301 surgiu em junho de 2024, rapidamente se estabelecendo como uma das principais ameaças no cenário cibernético. Com ataques direcionados a sistemas Windows, Linux e ESXi, o grupo utiliza técnicas de criptografia avançadas para comprometer seus alvos. Sua notoriedade cresceu ao listar diversas vítimas em seu site de vazamento de dados, sinalizando sua eficiência e alcance.

Ransomware em Rust: uma nova tendência?

O Cicada3301 se destaca por empregar ransomware desenvolvido em Rust, uma linguagem conhecida por sua segurança e desempenho. Embora poucos grupos tenham adotado essa abordagem, o Cicada3301 segue o caminho de outras ameaças como o BlackCat/ALPHV, que também utilizaram Rust em suas campanhas. O ransomware, especificamente compilado na versão 1.79.0 do Rust, possui características únicas, como a presença de referências ao sistema de compilação Cargo.

Funcionalidades e parâmetros do ransomware

O ransomware do Cicada3301, focado em sistemas Linux/ESXi, possui uma função principal chamada linux_enc, destinada à criptografia de dados. Para personalizar seu comportamento, ele aceita diversos parâmetros:

• parâmetro ui: exibe uma interface gráfica com o progresso e estatísticas da criptografia.
• parâmetro no_vm_ss: criptografa arquivos sem desligar máquinas virtuais, utilizando comandos ESXi para deletar snapshots.
• parâmetro key: fundamental para a execução; sem uma chave válida, o ransomware não é ativado.

Para garantir a segurança da chave de criptografia, o ransomware gera uma chave simétrica usando o gerador de números aleatórios OsRng, criptografa os arquivos com ChaCha20 e, em seguida, protege a chave ChaCha20 com RSA. O aviso de ransomware é gerado em cada diretório criptografado, utilizando a convenção de nomeação “RECOVER-[extensão]-DATA.txt”.