0 
0 Um novo player no espaço de ransomware chamado BianLian está aumentando a atividade e já tem como alvo organizações na Austrália, América do Norte e Reino Unido.
De acordo com um comunicado da empresa de segurança cibernética Redacted, houve um aumento “preocupante” na taxa em que BianLian está colocando novos servidores de comando e controle (C&C) online.
O ransomware foi criado com Golang (Go), a linguagem de programação de código aberto criada pelo Google, e tem como alvo dispositivos SonicWall VPN e a cadeia de vulnerabilidades do Microsoft Exchange Server ProxyShell (CVE-2021-34473, CVE-2021-34523, CVE-2021-31207 ).
“Embora não tenhamos o conhecimento para saber a causa exata dessa súbita explosão de crescimento, isso pode sinalizar que eles estão prontos para aumentar seu ritmo operacional, embora, seja qual for o motivo, há pouca vantagem de um operador de ransomware ter mais recursos disponíveis. para eles”, observaram os pesquisadores no post de sexta -feira .
BianLian vem crescendo em popularidade desde que foi lançado em meados de julho, de acordo com pesquisadores do Cyble Research Labs, que publicou detalhes sobre o ransomware no mês passado.
O fluxo de ataque do BianLian Ransomware
Para iniciar seus ataques, a gangue do ransomware aproveita o acesso obtido por meio das vulnerabilidades do ProxyShell para instalar um shell da Web ou carga útil ngrok para atividades de monitoramento. O grupo tem tomado cuidado para evitar a detecção e minimizar os eventos observáveis à medida que procura dados e identifica máquinas para criptografar, disseram os pesquisadores.
Em uma campanha observada pela Redacted, BianLian utilizou com mais frequência técnicas padrão de “viver da terra” (LoL) para perfis de rede e movimento lateral, observou o relatório. Isso incluía net.exe para adicionar e/ou modificar permissões de usuário; netsh.exe para configurar as políticas de firewall do host; e reg.exe para ajustar várias configurações de registro relacionadas à área de trabalho remota e à aplicação de políticas de segurança.
Além de alavancar as técnicas de LoL, o grupo também é conhecido por implantar um implante personalizado como um meio alternativo para manter o acesso persistente à rede. O principal objetivo desse backdoor “simples, mas eficaz” é recuperar cargas arbitrárias de um servidor remoto, carregá-las na memória e executá-las.
“A BianLian mostrou-se adepta da metodologia para mover-se lateralmente, ajustando suas operações com base nas capacidades e defesas encontradas na rede”, afirmou o relatório.
O BianLian, assim como outros novos ransomwares multiplataforma , como Agenda, Monster e RedAlert, também é capaz de iniciar servidores no Modo de Segurança do Windows para executar seu malware de criptografia de arquivos sem ser detectado pelas soluções de segurança instaladas no sistema. Outras medidas tomadas para contornar as barreiras de segurança incluem a exclusão de instantâneos, a limpeza de backups e a execução do módulo de criptografia Golang por meio do Gerenciamento Remoto do Windows (WinRM) e scripts do PowerShell.
O surgimento do grupo aumenta o número crescente de ameaças usando Go como linguagem base , permitindo que os adversários façam alterações rápidas em uma única base de código que pode ser compilada para várias plataformas.
Ransomware corre solto
O relatório de ameaças cibernéticas de meio de ano da Acronis descobriu que o ransomware continua sendo a principal ameaça para empresas de grande e médio porte, incluindo organizações governamentais, enquanto pesquisas da Sophos indicamque gangues de ransomware podem estar trabalhando em conjunto para orquestrar vários ataques.
Para complicar ainda mais o cenário de segurança está o surgimento de mercados de dados que tornam mais fácil para os agentes de ameaças encontrar e usar dados exfiltrados durante ataques de ransomware em ataques subsequentes .
Apesar do crescente nível de risco e sofisticação dos ataques de ransomware, falta cobertura de ransomware mesmo entre empresas com seguro cibernético, de acordo com uma pesquisa da BlackBerry .
O aviso redigido recomendou o uso de uma abordagem em camadas ao tentar mitigar a ameaça representada por agentes de ransomware.
“O foco precisa ser colocado na redução de sua superfície de ataque para evitar os tipos mais comuns de técnicas de exploração, mas também na preparação para agir de forma rápida e eficaz quando um comprometimento inevitavelmente acontecer”, disse o relatório.
A base dessa estratégia inclui autenticação multifator (MFA), backups seguros e um plano de resposta a incidentes.
FONTE: DARK READING