0 
0 A família de ransomware DeadBolt tem como alvo dispositivos de armazenamento conectado à rede (NAS) QNAP e Asustor, implantando um esquema de vários níveis voltado tanto para os fornecedores quanto para suas vítimas, e oferecendo várias opções de pagamento de criptomoedas.
Esses fatores tornam o DeadBolt diferente de outras famílias de ransomware NAS e podem ser mais problemáticos para suas vítimas, de acordo com uma análise da Trend Micro esta semana.
O ransomware usa um arquivo de configuração que escolherá dinamicamente configurações específicas com base no fornecedor que ele visa, tornando-o escalável e facilmente adaptável a novas campanhas e fornecedores, de acordo com os pesquisadores.
Os esquemas de pagamento permitem que a vítima pague por uma chave de decodificação ou que o fornecedor pague por uma chave mestra de descriptografia. Essa chave mestra teoricamente funcionaria para descriptografar dados para todas as vítimas; no entanto, o relatório observa que menos de 10% das vítimas do DeadBolt realmente pagaram o resgate.
“Mesmo que a chave de decodificação mestre do fornecedor não tenha funcionado nas campanhas da DeadBolt, o conceito de manter o resgate da vítima e dos fornecedores é uma abordagem interessante”, de acordo com o relatório. “É possível que essa abordagem seja usada em ataques futuros, especialmente porque essa tática requer uma baixa quantidade de esforço por parte de um grupo de ransomware.”
Fernando Mercês, pesquisador sênior de ameaças da Trend Micro, ressalta que os atores também criaram um aplicativo da Web funcional e bem projetado para lidar com pagamentos de resgate.
“Eles também sabem sobre os internos da QNAP e do Asustor”, diz ele. “No geral, é um trabalho impressionante do ponto de vista técnico.”
Mercês acrescenta que os atores de ransomware em geral estão visando dispositivos NAS devido a uma combinação de fatores: baixa segurança, alta disponibilidade, alto valor dos dados, hardware moderno e sistema operacional comum (Linux).
“É como segmentar servidores Linux voltados para a Internet com todos os tipos de aplicativos instalados e sem segurança profissional”, diz ele. “Além disso, esses servidores contêm dados de alto valor para o usuário. Parece o alvo perfeito para ransomware.”
Para que as organizações se protejam contra ataques direcionados a dispositivos NAS voltados para a Internet, ele diz, elas poderiam usar um serviço VPN, embora a configuração possa exigir algumas habilidades técnicas.
“Suponha que não haja outra maneira além de expor o NAS na Internet”, diz ele. “Nesse caso, eu recomendaria usar senhas fortes, 2FA, desativar/desinstalar todos os serviços e aplicativos não utilizados e configurar um firewall na frente dele para permitir apenas as portas que você deseja acessar. Isso pode ser feito em um roteador, por exemplo.”
Mercês observa que, embora não pareça eficaz, é interessante ver criminosos tentando pressionar os fornecedores a “consertar o problema” para seus clientes.
“Acho que os criminosos pensaram que os fornecedores estariam preocupados com sua imagem na frente de seus clientes e talvez pagassem para obter decodificadores gratuitos para todos eles”, diz ele. “Pode ser interessante se os clientes começassem a pressionar os fornecedores a pagar em seu nome, mas isso não aconteceu.”
Em maio, a QNAP alertou que seus dispositivos NAS estão sob ataque ativo pelo ransomware DeadBolt e, em janeiro, um relatório do provedor de soluções de superfície de ataque Censys.io observou que, de 130.000 dispositivos QNAP NAS que eram alvos potenciais, 4.988 serviços mostraram sinais de infecção pelo DeadBolt.
Nicole Hoffman, analista sênior de inteligência contra ameaças cibernéticas da Digital Shadows, fornecedora de soluções digitais de proteção contra riscos, ressalta que a operação do ransomware DeadBolt é interessante por várias razões, incluindo o fato de que as vítimas não precisam entrar em contato com os atores da ameaça a qualquer momento.
“Com a maioria dos grupos de ransomware, as vítimas precisam negociar com os atores da ameaça, que geralmente estão em fusos horários diferentes”, diz ela. “Essas interações podem adicionar uma quantidade significativa de tempo ao processo de recuperação e um nível de incerteza, porque o resultado pode depender do sucesso da interação.”
No entanto, ela observa que, de uma perspectiva técnica, os ataques de ransomware DeadBolt são diferentes dos ataques de ransomware que visam muitos dispositivos corporativos, já que o acesso inicial é obtido explorando vulnerabilidades em dispositivos NAS não corrigidos voltados para a Internet.
“Não há engenharia social ou técnicas de movimento lateral necessárias para realizar seus objetivos”, diz Hoffman. “Os atores da ameaça não precisam de muito tempo, ferramentas ou dinheiro para realizar esses ataques oportunistas.”
FONTE: DARK READING