SEGURANÇA

Bad Rabbit: ransomware usa código do ataque do Petya e segue como de 'alto risco'

Convergência Digital* ... 27/10/2017 ... Convergência Digital

O ransomware Bad Rabbit, que criou problemas na Rússia e na Ucrânia, está se espalhando e já atingiu a Bulgária, Dinamarca, Estônia, Alemanha, Irlanda e Japão, sustenta relatório da Trend Micro. Apesar das semelhanças na rotina de comportamento entre o Bad Rabbit e o Petya, os analistas da empresa advertem que esta ameaça vem de uma nova família. No entanto, um dos códigos de segurança usados no Petya, o EternalRomance, foi também visto em atividade no Bad Rabbit.

Para o diretor de Soluções de Segurança da Unisys na América Latina, Leonardo Carissimi, o profissional de segurança precisa estar atento. A ordem agora é revisar os controles de segurança da sua empresa e o nível de aderência dos usuários à política, bem como a sua conscientização dos riscos. O especialista, adverte Carissimi, precisa ficar atento se os controles de segurança existentes são eficazes e que seus usuários estejam conscientizados dos riscos, responsabilidades e precauções a tomar.

Outra recomendação: ficar atento às tendências que visam reduzir a superfície de ataque, como a microssegmentação, ou melhorar as capacidades de detecção e resposta de incidentes (como a Arquitetura de Segurança Adaptativa e a Inteligência de Ameaças). Na prática, o Bad Rabbit é uma atividade maliciosa do tipo “ransomware”, que sequestra os dados do usuário e só os libera mediante pagamento de resgate em moedas virtuais.

Ele tem como alvo os sistemas operacionais Microsoft Windows, que são infectados por meio de uma oferta falsa de instalação ou atualização do “Adobe Flash Player”, clicáveis em diversos sites comprometidos. Ao ser contaminado, o computador da vítima é bloqueado, e ela é redirecionada a um site em que é exigido um resgate de 0,05 bitcoins (cerca de R$ 900), com custo crescente após 40 horas.

Uma vez que o Bad Rabbit é ativado manualmente por parte do usuário, a melhor forma de se precaver contra esse malware é ficar atento à legitimidade do site acessado, bem como os arquivos que são ofertados para download. Além disso, um usuário descobriu uma espécie de vacina, ao criar os arquivos: c:\windows\infpub.dat && c:\windows\cscc.dat e em seguida remover todas as permissões.

"Fato é que o Bad Rabbit não foi o primeiro nem será o último ataque em massa. O aumento na frequência e no alcance dos ciberataques evidencia uma fragilidade contínua dos sistemas operacionais e, sobretudo, uma carência de implementações de medidas preventivas de segurança digital por parte das empresas e das instituições governamentais", observa Bruno Prado, CEO da UPX Technologies, empresa especializada em performance e segurança da Internet.

Passo a passo do bad Rabbit

De acordo com analistas da FireEye, o Bad Rabbit aparece disfarçado como uma Atualização Flash e, a partir do download drive-by, autorizado pelo próprio usuário sem a compreensão das consequências, o invasor hospeda o código malicioso no site da vítima. No caso do Bad Rabbit, a maior parte destes sites eram de viagens e mídia, com a finalidade de traçar o perfil dos visitantes e entregar – ou não – o payload (carga útil do malware).

Os especialistas da empresa de segurança identificaram 51 sites com o BACKSWING e quatro autorizados a soltar o BAD RABBIT. Esta estrutura apresenta duas versões com a mesma funcionalidade e que diferem apenas no estilo de código. Os pesquisadores da FireEye iSIGHT Intelligence consideram o BACKSWING como um recipiente genérico que seleciona a sessão de navegação atual do usuário e envia as informações para o receptor. Se este estiver online, o servidor analisa e encaminha duas opções "InjectionType" (para a totalidade) e "InjectionString" (para o conteúdo HTML).

A primeira, o "InjectionType" atua em duas frentes: redireciona o navegador para a URL ou compila a HTML para o DOM (Modelo de Documento Objeto). Esta foi observada pela FireEye no final de 2016 em sites de turismo da República Tcheca e do turismo Turco, além de um site do governo de Montenegro. A partir de maio de 2017, surgiu uma série de sites ucranianos comprometidos com esta versão do BACKSWING e, em junho, o conteúdo malicioso começou a ser disparado pelos receptores.

Já o segundo, "InjectionString", processa a resposta no DOM. O primeiro registro desta versão foi feito em 05 de outubro pela FireEye. Este foi injetado recursos legítimos de JavaScript alocados em sites afetados. A FireEye, observam os especialistas, tem observado o uso deste quadro de JavaScript mal-intencionado desde fevereiro, incluindo muitos dos sites registrados neste recente ataque ao leste europeu.

A estrutura atua como um perfilador que reúne informações daqueles que visualizam as páginas comprometidas, como host e endereço IP, navegador, site de referência e cookie do site de referência, o que permite aos invasores obter mais dados sobre as potenciais vítimas antes de implantar as cargas úteis (neste caso, a atualização flash por meio do ransomware, BAD RABBIT).




 

 


NEC - Conteúdo Patrocinado - Convergência Digital
No combate aos crimes, a fusão do ciber e do real

A integração Cibernética (virtual) e Física é essencial para vincular atividades criminais aos suspeitos reais no mundo físico (real). A Tecnologia é meio dessa união.

Mais de 30 mil ciberataques são detectados em golpe ao WhatsApp no Brasil

Uma falsa promoção oferece R$ 70 em créditos para celulares pré-pagos por conta do suposto aniversário da OTT de mensagens.

Vazamento de dados de até 500 mil contas enterra de vez a rede social Google+

Criada há sete anos para ser a concorrente do Facebook, o Google+ nunca decolou. Agora, com o anúncio de um vazamento de até 500 mil contas de usuários, a Alphabet, dona do Google, decidiu fechar o caixão e evitar um estrago semelhante ao vivido pelo rival Facebook. Sete anos depois, o Google+ está descontinuada.

Guerra cibernética: Reino Unido acusa a Rússia de usar hackers para desestabilizar o mundo

Tendo como base trabalhos do Centro Nacional de Segurança Cibernética (NCSC), o Reino Unido acusa a Rússia e a sua inteligência militar de estarem por trás dos ataques BadRabbit e à Agência Mundial Antidoping de 2016.

Facebook vive pesadelo e admite violação que afetou 50 milhões de contas

2018 não está sendo nada fácil para a rede social. Nesta sexta-feira, o Facebook admitiu uma violação de segurança que afetou cerca de 50 milhões de contas de usuários. Hoje a rede social conta com mais de 2 bilhões de usuários ativos por mês.



  • Copyright © 2005-2018 Convergência Digital
  • Todos os direitos reservados
  • É proibida a reprodução total ou
    parcial do conteúdo deste site
    sem a autorização dos editores
  • Publique!
  • Convergência Digital
  • Cobertura em vídeo do Convergência Digital
  • Carreira
  • Cloud Computing
  • Internet Móvel 3G 4G