Análise de um Ransomware clássico

Neste artigo vamos analisar o comportamento de um ransomware clássico, o CTB-Locker e como essa infecção se espalha. Ela já está causando dores de cabeça a milhares de usuários.

Comportamento

Polônia, República Checa e México são até agora os países mais afetados, como podemos verificar no gráfico representado abaixo. Entretanto, tem se falado muito sobre isso no Brasil, chegando até a reportagens na televisão.

Este ataque geralmente começa com um email falso que chega à caixa de email do usuário. O assunto do e-mail tem o objetivo de fazer o usuário acreditar que o anexo é um fax (Este  um arquivo falso é detectado pela ESET como Win32/TrojanDownloader.Elenoocka). Ao abrir este arquivo, se o seu antivírus não tem a proteção contra uma variante do Win32/FileCoder.DA, o código malicioso será copiado para o seu sistema, encriptando  todos os seus arquivos. E se não pagar o resgate ou não tiver backup, irá perder os seus arquivos para sempre.

Algumas variantes do Win32/TrojanDownloader.Elenoocka.A conectam-se a um endereço remoto para copiarem o malware detectado pela ESET como Win32/FileCoder.DA e conhecido como CTB‑locker. Esta família de código malicioso encripta todos os arquivos de forma similar ao CryptoLocker, sendo que a diferença principal está no fato de que esta família de código malicioso utiliza outro algoritmo de encriptação, do qual o nome deriva.

O resultado é similar ao do CryptoLocker ou do TorrentLocker, em que os arquivos com extensões como mp4, .pem, .jpg, .doc, .cer, .db, xls etc. são encriptados  com uma chave, o que torna virtualmente impossível a recuperação com os recursos computacionais existentes. Assim que o código malicioso acaba de encriptar as informações dos usuários, ele mostra  um aviso e muda o papel de parede do ambiente de trabalho, como se pode observar abaixo:

A mensagem é apresentada em Alemão, Italiano e Inglês de modo que se adapte a diferentes regiões. Porém apesar do idioma espanhol não estar presente, a maioria dos laboratórios de antivírus tem observado esta infecção ativa em muitos países onde se fala espanhol.

Para tranquilizar os usuários sobre a possível recuperação dos arquivos, os cibercriminosos disponibilizam uma demonstração de como é o funcionamento da “descriptação”, como pode ser vista na imagem abaixo:

Depois do usuário visualizar a demonstração, o criminoso revela como o usuário pode descriptar os arquivos e enviar o pagamento.

Outra característica peculiar do CTB-Locker é: não só a mensagem é mostrada ao usuário em diferentes idiomas, mas também mostra o sistema monetário que se adequa à mesma. Se o usuário quiser ver a mensagem em Inglês o preço é mostrado em dólares. Caso contrário, irá surgir em Euros. O preço do resgate é 8 bitcoints, ou seja, cerca de 1680 dólares. De um ponto de vista técnico, o Win32/TrojanDownloader.Elenoocka.A é uma ameaça simples.

Um outro vetor de ataque são as conexões Remote Desktop (RDP ou TS) abertas para a Internet. Muitas empresas deixam seus sistemas abertos sem proteção alguma e com senhas fracas. Um prato cheio para os criminosos, que quebram a senha, obtêm o acesso e encriptam os arquivos.

Este cenário tente a piorar, já que a há cada dia surgem novas categorias de Ransomware. Já circula pela Internet ransomwares para Android, além dos sequestros de sites. Imagine, os riscos para a Internet das Coisas?

É verdade que a técnica de encriptação utilizada pelo CTB-Locker torna praticamente impossível a recuperação dos arquivos analisados. Porém, existem algumas medidas de segurança que são recomendadas para os usuários e empresas:

• Se você possui uma solução de segurança para servidores de email, ative a filtragem por extensão. Isto vai ajudá-lo a bloquear arquivos maliciosos com extensões como a .scr, utilizada pelo Win32 / TrojanDownloader.Elenoocka.A.
• Evite abrir anexos nos emails de origem duvidosa e quando não identifica quem lhe enviou.
• Apague emails ou marque-os como spam para prevenir que outros usuários sejam infectados por estas ameaças.
• Caso não possua, adquira uma solução de antivírus e antispam pessoal ou para os computadores de sua empresa.
• Aplique políticas rígidas em seu software de antivírus, com sistemas HIDS ativos para proteção dos arquivos. Isto pode evitar alterações indevidas dos arquivos
  
• Verifique as políticas de acesso a Internet de seu firewall. Adote a política “Bloquear tudo que não for explicitamente permitido”. 
• Utilize um software de segurança que controle as atividades dos aplicativos instalados no sistema. Não deixando que um executável desconhecido manipule arquivos do Word por exemplo.
• Utilize VPN para conexões remotas, evitando deixar conexões RDP abertas para a Internet
• Utilize políticas de senhas fortes
• Efetue atualizações do sistema com regularidade
• Mantenha as soluções de segurança atualizadas para detectar as últimas ameaças.