0 
0 A história dos ataques de ransomware abrange pouco mais de 30 anos. Durante este período modesto, os cibercriminosos têm construído implacavelmente capacidades de ransomware e melhorado a logística para facilitar as infecções de suas vítimas e alcançar os alvos mais importantes. Isso ajudou os operadores de ransomware a subir ao topo da hierarquia cibercriminosa e ganhar o nome da ameaça cibernética número um. Nos primeiros 11 meses de 2021, mais de 60% de todos os incidentes investigados pelo Group-IB diziam respeito ao ransomware.
Poucos sabem que o primeiro protótipo do que hoje conhecemos como ransomware apareceu já em 1989. Embora não soubesse como criptografar arquivos, o histórico de ransomware começa com essa amostra. Muitos conceitos que hoje percebemos como atributos indispensáveis do ransomware, ou seja, resgates exorbitantes, programas Ransomware-as-a-Service (RaaS) e sites de vazamento de dados (DLS) ainda estavam por vir.
Em nosso relatório “Tendências do Crime de Alta Tecnologia 2021/2022. Parte II. Corporansom: ameaça número um”, o Grupo-IB tentou descobrir como o foco da indústria de ransomware mudou de ataques direcionados avançados para programas de distribuição de malware afiliados não direcionados, analisando o histórico de como esses serviços se desenvolveram. Usando os recursos do nosso sistema Threat Intelligence & Attribution, analisamos em detalhes as principais amostras de malware, táticas, técnicas e ferramentas usadas por atores de ameaças, bem como eventos na dark web que levaram ao surgimento do Império Ransomware de hoje.
Primeiros anos
O primeiro ancestral do ransomware moderno que os analistas de segurança cibernética conhecem foi espalhado usando disquetes e discos compactos (CDs) em 1989 para extorquir dinheiro dos usuários usando técnicas de engenharia social. O Trojan, no entanto, não conseguiu criptografar dados e seus criadores desconheciam outros métodos de monetização além do engano.
A extorsão também costumava ser uma técnica comum para atores de ameaças que realizavam ataques DDoS para ganhar dinheiro com suas vítimas, que eram extremamente vulneráveis a ataques DDoS naquela época devido à ausência de redes de entrega de conteúdo. Ao adicionar criptografia de dados ao seu arsenal em 2004, quando o PGPcoder surgiu, os cibercriminosos se aproximaram do conceito de ransomware como o conhecemos hoje. Os operadores do PGPcoder pediram às suas vítimas um resgate de cerca de US$ 13 — uma quantia insignificante em comparação com os padrões atuais, quando as demandas de resgate sobem para mais de US$ 200 milhões. Este malware, no entanto, não conseguiu obter enorme popularidade, pois teve como alvo apenas indivíduos e esforçou significativamente suas máquinas de baixo desempenho, o que facilitou a detecção.
O final dos anos 2000 viu uma nova tendência: os atores de ameaças começaram a bloquear certas funcionalidades do sistema operacional para exigir um resgate. Isso marcou a era WinLock, que gerou um fenômeno conhecido hoje como Ransomware-as-a-Service (RaaS). A popularidade dos armários continuou a crescer e atingiu o pico em 2012, após o que começou a declinar. Eles foram substituídos pelo infame ransomware Cryptolocker, que provocou o aumento no número de ofertas para vender anúncios de ransomware e RaaS em fóruns subterrâneos. O principal alvo dos operadores de ransomware naquela época eram indivíduos.
Vá grande ou vá para casa
O ponto de inflexão na história moderna do ransomware aconteceu em 2015, quando o foco dos atacantes mudou para alvos corporativos, depois que eles perceberam que as organizações eram presas muito mais valiosas do ponto de vista comercial. O ano de 2018 deu origem a um dos programas de afiliados mais notórios — GandCrab; de acordo com algumas fontes, o código-fonte desse malware formou a base do Trojan da REvil.
GandGrab se tornou o precursor do fenômeno Big Game Hunting: criou equipes dedicadas para diferentes atividades, uma das quais estava atacando grandes empresas. Mais uma mudança tectônica na indústria de ransomware foi desencadeada pelas gangues Snatch e Maze, que, além de criptografar os dados das empresas, começaram a baixá-los das redes de suas vítimas e publicá-los em seus próprios recursos. Esses sites, destinados a liberar dados sobre as organizações comprometidas que se recusaram a pagar dados na chamada técnica de extorsão dupla, foram apelidados de sites de vazamento de dados (DLSs). Os locais de vazamento de dados foram amplamente adotados, pois essa técnica aumentou significativamente a taxa de conversão, ou seja, a participação das empresas que optaram por pagar o resgate.
O uso da técnica de dupla extorsão baseada em DLSs, o desenvolvimento ativo do mercado de programas RaaS, bem como a crescente popularidade dos programas de ransomware entre os cibercriminosos que costumavam ter uma maneira mais difícil de ganhar dinheiro contribuíram para o surgimento do Império Ransomware no estágio de cibercriminoso.
Dinamentas dominantes
Os últimos três anos evidenciaram o surgimento de 51 programas de afiliados RaaS. Alguns deles subiram como LockBit, Hive, SunCrypt ou Avaddon, enquanto outros — realOnline Locker, Keystore Locker e Jingo Locker caíram. Durante o período de H2 2020 – H1 2021, pelo menos 21 novos programas de afiliados RaaS apareceram em fóruns subterrâneos, o que representa um aumento de 19% em comparação com o período correspondente do ano anterior. Os anúncios que promovem esses programas apareceram em pelo menos 15 fóruns darknet entre H1 2019 e H2 2021, gerenciados por administradores de língua russa. Darknet forum exploit[.]in foi o mais popular deles, com RAMP e xss.is também chegaram ao top 3.
Vale ressaltar que, no período de revisão, após uma onda de grandes ataques de vários grupos, especialmente REvil, os proprietários de fóruns proibiram programas de afiliados publicitários em fóruns subterrâneos. Eles explicaram que espalhar ransomware chamou muita atenção para outras atividades de hackers. E a RAMP foi criada em resposta ao chamado movimento de não mais resgate.
O surgimento de novos programas de afiliados RaaS atingiu o pico no segundo semestre de 2020, quando 14 novas estruturas apareceram, o que representa um aumento de 75% em comparação com os primeiros seis meses de 2020. O ritmo do surgimento de novos DLSs, no entanto, tem sido muito maior: para comparar, em 2021, analistas do Group-IB detectaram 29 novos DLSs e apenas 12 novos programas de afiliados, o que sugere que muitos programas de gangues de ransomware permanecem privados.
A técnica de dupla extorsão, no entanto, é a mesma popular entre os programas privados e públicos de afiliados RaaS, com o número de vítimas cujos dados foram divulgados sobre DLSs disparando no período de revisão. No H2 2020 – H1 2021, o número de vítimas de ransomware que tiveram seus dados vazados em DLSs atingiu 2.371, o que representa um aumento de 935% em comparação com o período de revisão anterior. Vale ressaltar que nos três primeiros trimestres do ano em andamento, as operadoras de ransomware publicaram 47% mais dados (1.966 empresas) do que em todo o 2020, quando 1.335 organizações foram afetadas.
Essas estatísticas refletem apenas parcialmente a taxa na qual o número de incidentes de ransomware está crescendo, enquanto os números reais são cerca de uma ordem de magnitude mais altos. Evidências a favor de tal suposição foram a análise do painel de administração do programa de afiliados Hive RaaS, que mostrou que a gangue divulgou informações sobre apenas cerca de 13% de suas vítimas.
Com base na análise dos DLSs, em 2020, Maze, Egregor, Conti e REvil foram as cepas de ransomware mais agressivas.
As cepas de ransomware mais agressivas em 2021 vs. 2020
No ano atual, a situação mudou e a parcela de certas gangues de ransomware diminuiu, à medida que o número de pequenos grupos de ransomware aumentou. Apesar disso, Conti conseguiu cimentar sua liderança, com o maior número de vítimas postadas no DLS — 361.
Navegando ao redor do mundo
De acordo com os dados dos DLSs analisados pelos analistas de Inteligência contra Ameaças do Group-IB, os Estados Unidos foram o país mais atacado em 2020, seguidos pelo Canadá e pelo Reino Unido. Os cinco principais países atacados também incluíram França e Alemanha. Em 2020, as regiões com mais vítimas foram a América do Norte, Europa e a região da Ásia-Pacífico.
Isso também permaneceu inalterado em 2021. A situação não mudou significativamente no ano atual para os países com o maior número de vítimas de ransomware. A França apareceu no top 3, no entanto, enquanto a Alemanha caiu para o sexto lugar.
A distribuição de vítimas de ransomware postada em DLSs em 2021 por país
Falando sobre as indústrias que são os principais alvos dos operadores de ransomware, estes foram manufatura, imóveis e transporte. A situação em 2021 permaneceu quase inalterada, o que sugere que os atacantes visam principalmente os mesmos tipos de empresas que acreditam ser as mais lucrativas.
Tudo é justo no mercado de ransomware
O mercado de ransomware como serviço (RaaS) se expandiu rapidamente e muitos grupos motivados financeiramente mudaram seu foco para ataques de ransomware, dois fatores que levaram a um aumento no número de incidentes investigados desse tipo. No primeiro trimestre de 2021, os ataques de ransomware foram responsáveis por mais de 60% de todos os incidentes investigados pelo Group-IB. No entanto, embora esse tipo de ataque tenha aumentado rapidamente e muitos grupos cibercriminosos diferentes tenham sido envolvidos, houve sobreposições substanciais nas táticas, técnicas e procedimentos usados pelos atacantes. Além disso, o conjunto típico de técnicas e ferramentas de ransomware permaneceu essencialmente o mesmo.
Outro fator que influenciou significativamente o volume e o sucesso dos ataques de ransomware foi o desenvolvimento de um mercado para corretores de acesso iniciais, o que permitiu que muitos atacantes obtivessem fácil acesso a redes. Em geral, semelhante ao período de relatório anterior, as técnicas de acesso inicial mais usadas foram comprometer os serviços de acesso remoto, phishing e explorar aplicativos voltados para o público. Em relação à pós-exploração, especialistas do Grupo-IB identificaram as técnicas de ataque mais usadas em incidentes de segurança. Estes eram interpretador de comando e script, serviços remotos e descoberta remota do sistema.
Os desenvolvimentos atuais no mercado de ransomware podem ser percebidos como a chamada demonopolização, com os programas RaaS crescendo em número, mas diminuindo de escopo. O dano total causado pelas operadoras de RaaS, no entanto, provavelmente continuará a aumentar, alimentado pelo surgimento de novos players e colaborações entre programas RaaS e vendedores de acesso a redes corporativas.
Além disso, para complicar o curso de possíveis processos, é provável que os mesmos indivíduos lancem inúmeros programas RaaS sob várias marcas. Mais previsões e recomendações sobre quais medidas devem ser tomadas para se proteger contra ataques de ransomware podem ser encontradas nas “Tendências de Crime de Alta Tecnologia 2021/2022” do Grupo-IB. Parte II. Corporansom: relatório da ameaça número um”.
FONTE: HELPNET SECURITY