0 
0 Os cibercriminosos estão fervilhando para implantar uma variante emergente de ransomware chamada BianLian, que foi escrita em Go, a linguagem de programação de código aberto criada pelo Google.
BianLian vem crescendo em popularidade desde que foi lançado em meados de julho, de acordo com pesquisadores do Cyble Research Labs, que publicaram detalhes sobre seu estudo do ransomware em um post de blog na semana passada. Atores de ameaças até agora lançaram uma ampla rede com o novo malware BianLian, que conta com organizações de mídia e entretenimento; fabricação; Educação; assistência médica; e bancos, serviços financeiros e seguros (BFSI) entre suas vítimas até agora.
Especificamente, o setor de mídia e entretenimento recebeu o peso dos ataques de BianLian, com 25% das vítimas nesse setor até agora e 12,5% cada nos setores de serviços profissionais, manufatura, saúde, energia e serviços públicos e educação, de acordo com Cyble. .
Os invasores que usam o BianLian geralmente exigem resgates extraordinariamente altos e utilizam um estilo de criptografia exclusivo que divide o conteúdo do arquivo em pedaços de 10 bytes para evitar a detecção por produtos antivírus, disseram os pesquisadores. “Primeiro, ele lê 10 bytes do arquivo original, depois criptografa os bytes e grava os dados criptografados no arquivo de destino”, escreveram os pesquisadores da Cybel no post.
Os operadores de BianLian também usam métodos de dupla extorsão, ameaçando vazar dados importantes roubados – como arquivos financeiros, de clientes, negócios, técnicos e pessoais – online se as demandas de resgate não forem atendidas em 10 dias. Eles mantêm um local de vazamento de cebola para essa finalidade.
Como funciona a variante de ransomware
O BianLian funciona de maneira semelhante a outros tipos de ransomware, pois criptografa os arquivos quando infecta um sistema de destino e envia uma nota de ransomware às vítimas, informando como entrar em contato com os operadores.
Após a execução do ransomware, BianLian tenta identificar se o arquivo está sendo executado em um ambiente WINE, verificando a função wine_get_version() por meio da API GetProcAddress() , disseram os pesquisadores. Em seguida, o ransomware cria vários threads usando a função API CreateThread() para executar uma criptografia de arquivos mais rápida, o que também dificulta a engenharia reversa do malware, disseram eles.
O malware identifica as unidades do sistema (de A:\ a Z:\) usando a função de API GetDriveTypeW() e criptografa todos os arquivos disponíveis nas unidades conectadas antes de descartar sua nota de ransomware, disseram os pesquisadores.
BianLian também é notável por usar Go como sua linguagem fundamental, dando aos agentes de ameaças mais flexibilidade no desenvolvimento e na implantação do malware, disseram os pesquisadores. “Vimos muitas ameaças desenvolvidas usando a linguagem Go, como Ransomware, RAT, Stealer , etc.”, escreveram eles.
A capacidade de plataforma cruzada do Go permite que uma única base de código seja compilada em todos os principais sistemas operacionais. Isso torna mais fácil para os agentes de ameaças – como os por trás do BianLian – fazer mudanças constantes e adicionar novos recursos a um malware para evitar a detecção, disseram os pesquisadores.
Outras ameaças cibernéticas escritas no chamado GoLang que estiveram ativas no ano passado incluem um botnet chamado Kraken que ressurgiu recentemente, bem como o Blackrota, um backdoor fortemente ofuscado.
Embora os esforços crescentes da aplicação da lei internacional para reprimir os atores por trás dos principais grupos cibercriminosos tenham tido algum impacto no ransomware, novos operadores de ameaças e variantes de ransomware aumentaram perenemente para substituir os já extintos.
Cyble reiterou em seu blog algumas práticas recomendadas para defesa contra ransomware: execução de backups offline regulares; manter o software do dispositivo atualizado, de preferência usando atualizações automáticas de software; execução de software antimalware em dispositivos; e evitando abrir quaisquer links e anexos suspeitos ou desconhecidos.
FONTE: DARK READING