Hackers combinam ransomware com DDoS para ataques ainda mais fortes

As ameaças cibernéticas evoluem com uma rapidez imensa. É desafiador tentar acompanhar as mudanças nas técnicas e metodologias usadas por criminosos cibernéticos.  E, agora, há uma nova forma de ataque que combina ransomware com DDoS, criando ataques mais robustos – e que, claro, trazem mais ganhos para os criminosos.

Ransomware e DDoS

Ransomware é um tipo de malware (malicious software, ou programa malicioso, comummente conhecido como vírus) que serve para infetar um dispositivo, sistema ou rede e “sequestrar” dados, arquivos e informações em geral – os criminosos pedem um “resgate”, geralmente em dinheiro, para devolver os dados roubados.

Em geral, um ransomware é instalado quando a vítima clica em anúncios, mensagens, links ou arquivos infetados, geralmente alertando sobre ameaças ao sistema, deteção de vírus (ou melhor, falsa deteção de vírus) e, claro, oferecendo a “solução mágica” com poucos cliques.

Já no sistema, o vírus possibilita a entrada do criminoso, que pode até congelar o dispositivo e travar arquivos, pastas ou dispositivos de armazenamento inteiros com senhas e criptografia avançada, impedindo que a vítima os acesse.

O DDoS é o Distributed Denial of Service (“distribuição de negação de serviço”), que sobrecarregam uma plataforma, sistema ou servidor com um fluxo falso de visitas, derrubando o servidor e causando o congelamento, a paralisação, a lentidão ou até mesmo derrubando o serviço atacado.

Há uma similaridade entre estas duas ameaças: ambas impedem, negam ou limitam acessos.

Ameaças clássicas, métodos novos

Ransomware e DDoS não são ameaças novas. Já nos anos 1990, os ataques de ransomware já eram uma realidade. Mas os métodos para executá-los passaram e passam por uma série de adaptações e atualizações.

Criminosos cibernéticos já estão usando uma nova forma de ataque que combina ransomware com ataques DDos para invadir dispositivos, sistemas e roubar/sequestrar informações, exigindo pagamentos pelo retorno dos arquivos e dados atingidos. Há dois vírus em circulação que já estão usando esta nova fórmula: o RagnarLocker e o SunCrypt.

O SunCrypt usa técnicas de outros ransomwares como Maze e NetWalker. Basicamente, depois de infectar a máquina, ele usa um carregador PowerShell que não é detetado, usa a função hash FNV para esconder as linhas de código e de configuração e, aí, usa um algoritmo de criptografia (ChaCha20) para impedir o acesso da vítima aos arquivos bloqueados.

O RagnarLocker é um trojan (cavalo de Tróia) que também criptografa, ou seja, bloqueia o acesso dos dados contra a vontade da vítima. Ele é especialmente voltado para ataques a empresas e ambientes corporativos em geral.