0
0
O Kaspersky analisou um novo ransomware que vem trazendo perigo ao setor de manufatura este ano, o Snake (ou Ekans), descoberto em dezembro de 2019. O relatório, publicado pelo ICS CERT, um projeto global da empresa de segurança para coordenar os esforços do setor industrial e investigadores de TI, apontou que a ameaça atua de maneira direcionada e tem capacidade de se disfarçar. A investigação aponta que a ação do Snake é a última após uma série de etapas coordenadas para atacar uma empresa.
Como qualquer outro ransomware, o Snake é capaz de criptografar e impedir que a empresa acesse os documentos de trabalho. Ele é capaz de se disfarçar com os mesmos domínios e endereços IP das redes invadidas para obter livre acesso e executar a codificação dos arquivos. Antes de estruturar o ransomware, por exemplo, os cibercriminosos precisam descobrir os registros de endereço dos seus alvos, e, em alguns casos, eles obtêm esses dados por meio de servidores de DNS públicos.
As descobertas do Kaspersky ICS CERT apontam que o malware foi iniciado usando um arquivo “nmon.bat“, detectado pelos produtos da empresa nas pastas de script da política de domínio. A única diferença entre todas as amostras Snake identificadas é o nome de domínio e o endereço IP incorporado ao código, que é comparado com o IP da máquina infectada, caso o malware consiga identificá-lo.
De acordo com os pesquisadores, o malware apenas criptografa os dados da máquina infectada quando os endereços IP do dispositivo e o presente no código do malware são os mesmos. A combinação de endereço IP e nome de domínio incorporada no código de malware é exclusiva para cada ataque identificado. Aparentemente, ela é válida para a rede interna da organização alvo dos ataques.
Além disso, em alguns casos, os nomes de domínio podem ter sido obtidos de servidores públicos (DNS), enquanto as informações sobre os endereços IP associados a esses nomes de domínio são, aparentemente, armazenadas em servidores DNS internos. Com isso, apenas se tornam disponíveis quando enviam solicitações de DNS a partir das próprias redes internas invadidas.
Além do nome de domínio e endereço IP da organização, incorporados ao código do malware, as novas amostras do Snake são diferentes daquelas identificadas em dezembro de 2019. Isso porque elas possuem uma lista expandida das extensões de arquivos (typos) que o malware deve criptografar. Os exemplos incluem extensões para arquivos de unidades virtuais, Microsoft Access, código-fonte em С / C# / ASP / JSP / PHP / JS, além dos arquivos correspondentes de projetos, soluções e outras extensões que não eram suportadas por versões anteriores.
Para identificar indícios de um ataque do ransomware Snake e evitar possíveis danos, o Kaspersky ICS CERT recomenda usar os IoCs (indicadores de compromisso) fornecidos no relatório para identificar infecções em estações de trabalho e servidores Windows (confira-os aqui), verificar políticas e scripts de domínio ativo para códigos maliciosos, verificar tarefas ativas no Agendador de Tarefas do Windows, tanto em estações de trabalho quanto em servidores, para a busca de códigos maliciosos e alterar as senhas de todas as contas no grupo de administradores de domínio.
FONTE: IP NEWS