0 
0 Duas gangues de ransomware emergentes, conhecidas como RedAlert e Monster, adotaram recursos de plataforma cruzada para facilitar a execução de ataques contra vários sistemas operacionais e ambientes. É um exemplo brilhante de uma tendência de bola de neve para ataques de ransomware multiplataforma, para os quais os defensores precisam se preparar.
Um dos novos grupos de ameaças, conhecido como RedAlert ou N13V, cria executáveis em uma versão C específica do Linux e também oferece suporte ao hipervisor ESXi de classe empresarial da VMware. O outro grupo de ameaças, Monster, usa uma linguagem multiplataforma mais antiga, Delphi, que facilita a adaptação do ataque para a configuração de uma vítima específica.
A capacidade de impactar uma variedade de sistemas operacionais de clientes no ambiente de uma única vítima começou a ganhar força em 2021, de acordo com um comunicado da Kaspersky publicado na quinta-feira. O grupo Conti, por exemplo, permite que afiliados acessem uma variante Linux de seu ransomware, que também permite direcionar sistemas que executam o hipervisor ESXi da VMware.
Implante uma vez, afete muitos
Existem várias razões para a tendência: Por um lado, reduz o trabalho. Os invasores precisam apenas escrever uma determinada funcionalidade do programa uma vez e, então, podem usar o código resultante para criar scripts de ataques contra vários alvos, afirmou o comunicado da Kaspersky.
“Nós nos acostumamos com os grupos de ransomware que implantam malware escrito em linguagem multiplataforma”, disse Jornt van der Wiel, pesquisador sênior de segurança da equipe de análise e pesquisa global da Kaspersky, em comunicado. “Atualmente, os cibercriminosos [aprenderam] a ajustar seu código malicioso escrito em linguagens de programação simples para ataques conjuntos, fazendo com que os especialistas em segurança elaborem maneiras de detectar e impedir as tentativas de ransomware”.
Outros benefícios dos ataques multiplataforma são a capacidade de dificultar a análise, além da capacidade de personalizar os ataques para ambientes específicos das vítimas. Os grupos podem usar linhas de comando para personalizar um ataque para impedir que o código seja executado em ambientes ESXi, por exemplo — ou, inversamente, para se concentrar em determinados tipos de máquinas virtuais clientes.
“Recentemente, seu objetivo é danificar o maior número possível de sistemas, adaptando seu código de malware a vários sistemas operacionais no momento”, afirmou a Kaspersky em sua postagem no blog sobre tendências de ransomware para 2022 . “[Mas] existem algumas outras razões para usar uma linguagem multiplataforma.”
A Kaspersky também observou que as gangues de ransomware estão ficando cada vez melhores na adaptação de explorações de n-dia, que chamou de explorações de “1 dia”, a ataques multiplataforma. N-dias referem-se a vulnerabilidades recém-relatadas que os cibercriminosos correm para explorar antes que as empresas tenham tempo de corrigi-las.
“[Tal funcionalidade ampla] é algo que geralmente vemos em explorações comerciais”, disse a empresa, observando que uma das duas explorações cobertas em seu último comunicado foi usada “na natureza” durante um ataque a um grande varejista na Ásia- região do Pacífico.
A mudança para plataforma cruzada é fruto da necessidade, disseram os pesquisadores. No primeiro semestre de 2022, à medida que o valor das criptomoedas despencou, os ataques de ransomware diminuíram , com a empresa de segurança cibernética Arctic Wolf relatando uma queda de cerca de um quarto. Embora a tendência não tenha se mantido para outros crimes cibernéticos, como golpes de investimento e comprometimentos de e-mail comercial , os ventos contrários para os grupos de ransomware significaram que os agentes de ameaças tiveram que encontrar maneiras de aumentar seu sucesso.
Rust e GoLang ganham vapor para codificação de ransomware
Uma maneira comum que os grupos têm enfrentado o processo de adicionar recursos de plataforma cruzada é escrever o código em uma linguagem que suporte outras plataformas, como Rust ou Golang, observou a Kaspersky em seu comunicado de 24 de agosto .
O programa de ransomware BlackCat, por exemplo, é escrito em Rust, um sucessor do C, que ganhou força por causa de seus recursos de segurança aprimorados.
“Devido aos recursos de compilação cruzada do Rust, não demorou muito para encontrarmos amostras do BlackCat que também funcionassem no Linux”, disse Kaspersky no comunicado. “A amostra Linux do BlackCat é muito semelhante à do Windows.”
O ransomware escrito em Rust and Go também dificulta a análise para os pesquisadores de malware, já que as ferramentas para analisar essas linguagens não são tão sofisticadas quanto a análise de programas escritos na linguagem de programação C comum, observou Kaspersky.
FONTE: DARK READING