0 
0 O malware usado pelo BlackCat/ALPHV está dando uma nova reviravolta no jogo do ransomware, excluindo e destruindo os dados de uma organização, em vez de apenas criptografá-los. O desenvolvimento fornece um vislumbre da direção em que os ataques cibernéticos motivados financeiramente provavelmente estão indo, de acordo com pesquisadores.
Pesquisadores das empresas de segurança Cyderes e Stairwell observaram uma ferramenta de exfiltração .NET sendo implantada em relação ao ransomware BlackCat/ALPHV chamada Exmatter, que procura por tipos de arquivos específicos de diretórios selecionados, os carrega para servidores controlados por invasores e, em seguida, corrompe e destrói os arquivos . A única maneira de recuperar os dados é comprando os arquivos exfiltrados de volta da gangue.
“Há rumores de que a destruição de dados é o destino do ransomware, mas na verdade não o vimos em estado selvagem”, de acordo com um post publicado recentemente no site Cyderes. Exmatter pode significar que a mudança está acontecendo, demonstrando que os agentes de ameaças estão ativamente no processo de preparação e desenvolvimento dessa capacidade, disseram os pesquisadores.
Os pesquisadores da Cyderes realizaram uma avaliação inicial do Exmatter e, em seguida, a equipe de pesquisa de ameaças da Stairwell descobriu “funcionalidade de destruição de dados parcialmente implementada” após analisar o malware, de acordo com uma postagem de blog complementar .
“O uso de destruição de dados por atores de nível afiliado em vez de implantação de ransomware como serviço (RaaS) marcaria uma grande mudança no cenário de extorsão de dados e sinalizaria a balcanização de atores de intrusão motivados financeiramente atualmente trabalhando sob os banners dos programas de afiliados RaaS”, observaram no post Daniel Mayer, pesquisador de ameaças da Stairwell, e Shelby Kaba, diretor de operações especiais da Cyderes.
O surgimento desse novo recurso no Exmatter é um lembrete do cenário de ameaças em rápida evolução e cada vez mais sofisticado, à medida que os agentes de ameaças se mobilizam para encontrar maneiras mais criativas de criminalizar suas atividades, observa um especialista em segurança.
“Ao contrário da crença popular, os ataques modernos nem sempre são apenas para roubar dados, mas podem ser sobre destruição, interrupção, armamento de dados, desinformação e/ou propaganda”, diz Rajiv Piimplaskar, CEO do provedor de comunicações seguras Dispersive Holdings, ao Dark Reading.
Essas ameaças em constante evolução exigem que as empresas também aprimorem suas defesas e implementem soluções de segurança avançadas que fortaleçam suas respectivas superfícies de ataque e ofusquem recursos confidenciais, o que as tornará alvos difíceis de atacar em primeiro lugar, acrescenta Piimplaskar.
Laços anteriores com BlackMatter
A análise do Exmatter pelos pesquisadores não é a primeira vez que uma ferramenta com esse nome é associada ao BlackCat/ALPHV. Esse grupo – que se acredita ser administrado por ex-membros de várias gangues de ransomware, incluindo os da agora extinta BlackMatter – usou o Exmatter para exfiltrar dados de vítimas corporativas em dezembro e janeiro, antes de implantar o ransomware em um ataque de extorsão dupla, pesquisadores da Kaspersky relataram anteriormente . .
Na verdade, a Kaspersky usou o Exmatter, também conhecido como Fendr, para vincular a atividade do BlackCat/ALPHV com a do BlackMatter no resumo de ameaças , publicado no início deste ano.
A amostra do Exmatter que os pesquisadores da Stairwell e Cyderes examinaram é um executável .NET projetado para exfiltração de dados usando protocolos FTP, SFTP e webDAV, e contém funcionalidade para corromper os arquivos em disco que foram exfiltrados, explicou Mayer. Isso se alinha com a ferramenta do BlackMatter de mesmo nome.
Como o Exmatter Destructor funciona
Usando uma rotina chamada “Sync”, o malware percorre as unidades na máquina da vítima, gerando uma fila de arquivos de determinadas extensões de arquivo específicas para exfiltração, a menos que estejam localizados em um diretório especificado na lista de bloqueio codificada do malware.
O Exmatter pode exfiltrar arquivos enfileirados enviando-os para um endereço IP controlado pelo invasor, disse Mayer.
“Os arquivos exfiltrados são gravados em uma pasta com o mesmo nome do hostname da máquina vítima no servidor controlado pelo ator”, explicou ele no post.
O processo de destruição de dados está dentro de uma classe definida dentro da amostra chamada “Eraser”, projetada para ser executada simultaneamente com o Sync, disseram os pesquisadores. À medida que o Sync carrega arquivos para o servidor controlado por ator, ele adiciona arquivos que foram copiados com sucesso para o servidor remoto a uma fila de arquivos a serem processados pelo Eraser, explicou Mayer.
O Eraser seleciona dois arquivos aleatoriamente da fila e substitui o Arquivo 1 por um pedaço de código retirado do início do segundo arquivo, uma técnica de corrupção que pode ser uma tática de evasão, observou ele.
“O ato de usar dados de arquivos legítimos da máquina da vítima para corromper outros arquivos pode ser uma técnica para evitar a detecção baseada em heurística para ransomware e limpadores”, escreveu Mayer, “já que copiar dados de um arquivo para outro é muito mais plausivelmente benigno funcionalidade em comparação com a substituição sequencial de arquivos com dados aleatórios ou criptografá-los.” escreveu Mayer.
Trabalho em progresso
Existem várias pistas para indicar que a técnica de corrupção de dados do Exmatter é um trabalho em andamento e, portanto, ainda está sendo desenvolvido pelo grupo de ransomware, observaram os pesquisadores.
Um artefato na amostra que aponta para isso é o fato de que o tamanho do pedaço do segundo arquivo, que é usado para sobrescrever o primeiro arquivo, é decidido aleatoriamente e pode ter apenas 1 byte de comprimento.
O processo de destruição de dados também não tem mecanismo para remover arquivos da fila de corrupção, o que significa que alguns arquivos podem ser substituídos várias vezes antes que o programa termine, enquanto outros podem nunca ter sido selecionados, observaram os pesquisadores.
Além disso, a função que cria a instância da classe Eraser – apropriadamente chamada de “Erase” – não parece estar totalmente implementada na amostra que os pesquisadores analisaram, pois não descompila corretamente, disseram eles.
Por que destruir em vez de criptografar?
Desenvolver recursos de corrupção e destruição de dados em vez de criptografar dados tem vários benefícios para os agentes de ransomware, observaram os pesquisadores, especialmente porque a exfiltração de dados e a dupla extorsão (ou seja, ameaçar vazar dados roubados) se tornou um comportamento bastante comum de ameaça atores. Isso tornou o desenvolvimento de ransomware estável, seguro e rápido para criptografar arquivos redundante e caro em comparação com arquivos corrompidos e uso de cópias exfiltradas como meio de recuperação de dados, disseram eles.
A eliminação total da criptografia também pode tornar o processo mais rápido para os afiliados de RaaS, evitando cenários em que eles perdem lucros porque as vítimas encontram outras maneiras de descriptografar os dados, observaram os pesquisadores.
“Esses fatores culminam em um caso justificável para os afiliados deixarem o modelo RaaS para atacar por conta própria”, observou Mayer, “substituindo o ransomware pesado de desenvolvimento pela destruição de dados”.
FONTE: DARK READING