0 
0 A Sophos divulgou uma pesquisa que detalha semelhanças de código no propósito geral da botnet Dridex e do pouco conhecido ransomware, Entropy. As semelhanças estão no empacotador de software usado para ocultar o código ransomware, nas subrotinas de malware projetadas para encontrar e ofuscar comandos (chamadas de API) e nas subrotinas usadas para descriptografar texto criptografado.
A Sophos descobriu as semelhanças enquanto investigava dois incidentes em que os atacantes usavam o Dridex para fornecer ransomware entropia. Esses ataques tinham como alvo uma empresa de mídia e uma agência do governo regional, usando versões especialmente criadas e personalizadas da Biblioteca de Links Dinâmicos (DLL) do ransomware Entropy com o nome do alvo incorporado no código do ransomware.
Em ambos os ataques, os atacantes também implantaram o Cobalt Strike em alguns dos computadores dos alvos e exfiltraram dados para provedores de armazenamento em nuvem usando a ferramenta legítima de compactação WinRAR, antes de lançar o ransomware em computadores desprotegidos.
“Não é inédito que os operadores de malware compartilhem, emprestem ou roubem o código uns dos outros, seja para salvar-se do esforço de criar sua própria atribuição, enganar intencionalmente ou distrair os pesquisadores de segurança. Essa abordagem torna mais difícil encontrar evidências que corroboram uma ‘família’ de malware relacionado ou identificar ‘falsas bandeiras’ que podem facilitar o trabalho dos atacantes e os trabalhos dos investigadores”, disse Andrew Brandt, principal pesquisador da Sophos.
“Nesta análise, a Sophos focou em aspectos do código que tanto o Dridex quanto a Entropy aparentemente usaram para tornar a análise forense mais desafiadora. Estes incluem o código empacotador, que impede a análise estática fácil do malware subjacente, uma subrotina que os programas usam para ocultar as chamadas de comando (API) que eles fazem e uma subrotina que descriptografa strings de texto criptografadas incorporadas dentro do malware. Os pesquisadores descobriram que as subrotinas em ambos os malwares têm um fluxo de código e lógica fundamentalmente semelhantes.”
Dridex e Entropia têm semelhanças de código, mas metodologia de ataque diferente
Além de encontrar semelhanças no código, os pesquisadores encontraram algumas diferenças notáveis. No ataque à organização de mídia, os adversários usaram a exploração do ProxyShell para atingir um servidor Exchange vulnerável para instalar um shell remoto que mais tarde aproveitaram para espalhar os faróis Cobalt Strike para outros computadores. Os atacantes ficaram na rede por quatro meses antes de lançar a Entropia no início de dezembro de 2021.
No ataque à organização do governo regional, o alvo foi infectado com malware Dridex através de um anexo de e-mail malicioso. Os atacantes então usaram o Dridex para fornecer malware adicional e mover-se lateralmente dentro da rede do alvo. A análise do incidente mostra que aproximadamente 75 horas após a detecção inicial de uma tentativa de login suspeita em uma única máquina, os atacantes começaram a roubar dados e movê-los para uma série de provedores de nuvem.
Mantendo-se protegido
A investigação descobriu que, em ambos os casos, os atacantes foram capazes de tirar vantagem de sistemas Windows não reparados e vulneráveis e abusar de ferramentas legítimas. A regular remendação de segurança e a investigação ativa de alertas suspeitos por caçadores de ameaças e equipes de operações de segurança ajudarão a tornar mais difícil para os atacantes obter acesso inicial a um alvo e implantar códigos maliciosos.
FONTE: HELPNET SECURITY