Microsoft intercepta botnet que espalha ransomware

A Microsoft realizou outra remoção contra criminosos cibernéticos, desta vez para desmantelar a infraestrutura do botnet ZLoader. O malware ZLoader infectou milhares de organizações, principalmente nos EUA, Canadá e Índia. Ele é muito conhecido por ter distribuído o ransomware Conti.

A Microsoft agora recebeu uma ordem judicial do Tribunal Distrital dos EUA para o Distrito Norte da Geórgia que lhe permitiu apreender 65 domínios que a gangue ZLoader estava usando para comando e controle (C&C) para seu botnet construído a partir de malware que infectava empresas, hospitais, escolas e lares.

Esses domínios agora direcionam para um local da Microsoft, fora do controle da gangue ZLoader. 

A Microsoft também ganhou controle sobre os domínios que o ZLoader usou para seu algoritmo de geração de domínio (DGA), que são usados para criar automaticamente novos domínios para o C2 da botnet.

O Zloader contém um algoritmo de geração de domínio (DGA) embutido no malware que cria domínios adicionais como um canal de comunicação alternativo ou de backup para a botnet. Além dos domínios codificados, a ordem judicial nos permite controlar mais 319 atualmente registrados Também estamos trabalhando para bloquear o futuro registro de domínios DGA, disse Amy Hogan-Burney, gerente geral da Unidade de Crimes Digitais da Microsoft. 

Microsoft intercepta botnet que espalha ransomware

A Microsoft liderou a ação contra o ZLoader em parceria com pesquisadores da ESET, Lumen‘s Black Lotus Labs e Palo Alto Networks Unit 42. A Avast também auxiliou na investigação europeia da DCU da Microsoft. De acordo com a ESET, o Zloader tinha cerca de 14.000 amostras únicas e mais de 1.300 servidores C&C exclusivos.

A Microsoft reconhece que o ZLoader não terminou e também está trabalhando com ISPs para identificar e remediar infecções em sistemas infectados. Também é encaminhado o caso para a aplicação da lei.