Ransomware: Uma ameaça persistente 

Views: 351

Ransomware é um tipo particularmente agressivo de malware que cibercriminosos usam para impedir que empresas e indivíduos acessem seus arquivos críticos, bancos de dados ou sistemas de computador inteiros até que o resgate seja pago. Esta forma de extorsão cibernética evoluiu para incluir táticas de dupla e tripla extorsão, onde não apenas os dados são criptografados, mas também são exfiltrados e às vezes usados para novos ataques direcionados a indivíduos listados dentro dos dados roubados. A escala do problema é imensa, com a Statistica estimando 493,33 milhões de ataques de ransomware globalmente em 2022, traduzindo-se em aproximadamente 16 ataques por segundo. As repercussões financeiras para as vítimas podem variar de $300.000 a $2 milhões por incidente.

A sofisticação crescente dos ataques de ransomware

Os ataques de ransomware estão sendo cada vez mais realizados por grupos de hackers sofisticados que utilizam um modelo de “ransomware como serviço”. Essas plataformas fornecem aos cibercriminosos kits de ferramentas e até serviços de negociação para facilitar seus ataques. A integração de tecnologias de IA, como o ChatGPT, no desenvolvimento de ransomware aumenta ainda mais a complexidade e a eficiência desses ataques. Consequentemente, as proteções tradicionais baseadas em software para endpoints muitas vezes são insuficientes contra esse cenário de ameaças em evolução.

Anatomia de um ataque de ransomware

Entender a anatomia de um ataque de ransomware é crucial para desenvolver contramedidas eficazes. A Cadeia de Morte Cibernética® típica de um ataque de ransomware envolve sete estágios:

• Reconhecimento: O atacante coleta endereços de e-mail dos funcionários para lançar uma campanha de phishing.
• Armazenamento: Um kit de ransomware da dark web é adaptado para entregar malware via anexo de e-mail.
• Entrega: O ransomware é enviado por meio de um e-mail falso ou através de um serviço de protocolo de desktop remoto.
• Exploração: Quando um funcionário abre o anexo falso, o malware explora uma vulnerabilidade e infecta o dispositivo.
• Instalação: O ransomware instala um binário que se comunica com um site de comando e controle.
• Comando e Controle (CnC): O ransomware envia o endereço IP do host alvo e obtém a chave de criptografia.
• Ação: O ransomware exfiltra dados sensíveis, criptografa arquivos e exibe uma nota de resgate.

Métodos de detecção atuais e suas limitações

Existem vários métodos para detectar ransomware, mas cada um tem suas limitações:

• Detecção por Assinatura: Comum em softwares antivírus, mas falha em detectar ransomware modificado.
• Análise de Tráfego: Útil para detectar ransomware através do comportamento da rede, mas propenso a muitos falsos positivos.
• Detecção Comportamental: Monitora comportamentos específicos do ransomware, mas pode demorar para detectar.

Práticas de segurança de base

As organizações normalmente empregam várias práticas de segurança básicas para mitigar os riscos de ransomware:

• Treinamento de Conscientização de Segurança: Educar os funcionários para reconhecer tentativas de phishing, embora bastasse um erro para comprometer a rede.
• Gateways Seguros de E-mail/Web: Protege contra ransomware entregue por e-mail, mas tem dificuldades com novas cepas de malware.
• Aplicação de Patches: Atualizar regularmente o software para fechar vulnerabilidades, embora explorações de dia zero ainda possam representar riscos.
• Monitoramento de DNS: Bloqueia domínios de ransomware conhecidos, mas é ineficaz contra novos domínios desconhecidos.
• Backup de Dados: Essencial para a recuperação, mas pode ser demorado e caro, especialmente se o malware permanecer no sistema.

Estratégias avançadas de defesa com a plataforma de segurança de dados CipherTrust

Dadas as limitações das práticas básicas, uma estratégia de defesa multifacetada é crucial. A Plataforma de Segurança de Dados CipherTrust oferece uma solução robusta, combinando descoberta, classificação e proteção de dados com gerenciamento centralizado de chaves. Esta plataforma aborda a natureza multifacetada das ameaças de ransomware fornecendo o seguinte:

• Monitoramento Comportamental: Detecta ataques de dia zero monitorando comportamentos suspeitos, como renomeação de arquivos e exclusão de cabeçalhos, em vez de depender apenas de assinaturas conhecidas.
• Controles de Acesso Robustos: Implementa políticas de acesso detalhadas para limitar quem pode acessar dados críticos e quais operações podem realizar, impedindo assim a criptografia não autorizada.
• Criptografia de Dados em Repouso: Garante que os dados roubados sejam inúteis para os atacantes, pois permanecem criptografados e inacessíveis sem as chaves adequadas.

Implementação da Criptografia Transparente CipherTrust (CTE)

O CTE é um componente crítico da plataforma CipherTrust, oferecendo criptografia de dados em repouso, controles de acesso e a capacidade de definir listas de aplicativos confiáveis. Ele protege dados em vários ambientes, incluindo infraestruturas on-premises e na nuvem. Principais recursos incluem:

• GuardPoints: Protege diretórios específicos, partições ou armazenamento em nuvem com políticas de acesso definidas.
• Trilhas de Auditoria: Registros detalhados de atividades de acesso, integrados com sistemas SIEM para identificar proativamente ameaças.

Conclusão

À medida que os ataques de ransomware se tornam mais sofisticados e prevalentes, é imperativo que as organizações adotem uma estratégia de defesa abrangente. A Plataforma de Segurança de Dados CipherTrust oferece uma abordagem holística para proteger dados críticos antes, durante e após um ataque. Ao integrar métodos avançados de detecção, controles de acesso robustos e criptografia de dados, as organizações podem mitigar significativamente o risco e o impacto dos ataques de ransomware, garantindo a continuidade dos negócios e a segurança dos dados.

Esse artigo tem informações retiradas do whitepaper da Thales. A Neotel é parceira da Thales e, para mais informações sobre as soluções e serviços da empresa, entre em contato com a gente.