0 
0 O malware limpador destrutivo evoluiu muito pouco desde que o vírus “Shamoon” danificou cerca de 30.000 sistemas de clientes e servidores na Saudi Aramco há mais de 10 anos. No entanto, continua sendo uma ameaça tão potente como sempre para as organizações empresariais, de acordo com um novo estudo.
Max Kersten, analista de malware da Trellix, analisou recentemente mais de 20 famílias de limpadores que os agentes de ameaças implantaram em vários ataques desde o início deste ano — ou seja, malware que torna arquivos irrecuperáveis ou destrói sistemas de computador inteiros. Ele apresentou um resumo de suas descobertas no evento Black Hat Middle East & Africa na terça-feira durante uma sessão “Wipermania”.
Uma comparação de Wipers na natureza
A análise de Kersten incluiu uma comparação dos aspectos técnicos dos diferentes limpadores no estudo, incluindo os paralelos e as diferenças entre eles. Para sua análise, Kersten incluiu limpadores que os agentes de ameaças usaram extensivamente contra alvos ucranianos, especialmente pouco antes da invasão do país pela Rússia, bem como limpadores mais genéricos em estado selvagem.
Sua análise mostrou que a evolução dos limpadores, desde o Shamoon , é muito diferente de outros tipos de ferramentas de malware. Onde, por exemplo, o malware que os agentes de ameaças usam em campanhas de espionagem tornou-se cada vez mais sofisticado e complexo ao longo dos anos, os limpadores evoluíram muito pouco, embora continuem tão destrutivos como sempre. Muito disso tem a ver com como e por que os agentes de ameaças os usam, disse Kersten a Dark Reading.
Ao contrário do spyware e outros malwares para ataques direcionados e ciberespionagem, os adversários têm pouco incentivo para desenvolver novas funcionalidades para ocultar os limpadores em uma rede, uma vez que eles conseguiram invadi-los em primeiro lugar. Por definição, os limpadores funcionam para apagar ou sobrescrever dados em computadores e, portanto, são barulhentos e facilmente detectados depois de iniciados.
“Como o comportamento do limpador não precisa passar despercebido per se, não há incentivo real para a evolução”, diz Kersten. Normalmente, é apenas quando o malware precisa permanecer oculto por um período prolongado que os agentes de ameaças desenvolvem técnicas avançadas e realizam testes completos antes de implantar seu malware.
Mas os limpadores não precisam ser tão complexos, nem bem testados, observa ele. Para a maioria dos agentes de ameaças que usam limpadores, “os métodos atuais estão funcionando e requerem pouco ou nenhum ajuste, além da criação de um novo limpador para usar em um próximo ataque”.
Kersten descobriu que um limpador pode ser tão simples quanto um script para remover todos os arquivos do disco ou tão complexo quanto um malware de vários estágios que modifica o sistema de arquivos e/ou os registros de inicialização. Como tal, o tempo para um autor de malware desenvolver um novo limpador pode variar de apenas alguns minutos a um período significativamente mais longo para os limpadores mais complexos, diz ele.
Uma Ameaça Nuance
Kersten defende que as equipes de segurança corporativa tenham alguns fatores em mente ao avaliar as defesas contra os limpadores. O mais importante é entender as metas e os objetivos do agente da ameaça. Embora os limpadores e o ransomware possam interromper a disponibilidade de dados, os operadores de ransomware tendem a ser motivados financeiramente, enquanto os objetivos de um invasor que usa malware de limpeza tendem a ser mais sutis.
A análise de Kersten mostrou, por exemplo, que ativistas e agentes de ameaças que trabalham em apoio a interesses estratégicos de estados-nações foram os que mais empregaram limpadores em ataques cibernéticos este ano. Em muitos dos ataques, os agentes de ameaças visaram organizações na Ucrânia, particularmente no período imediatamente anterior à invasão russa do país em fevereiro.
Exemplos de limpadores que os agentes de ameaças usaram nessas campanhas incluíram WhisperGate e HermeticWiper , ambos mascarados como ransomware, mas na verdade danificaram o Master Boot Record (MBR) em sistemas Windows e os tornaram inoperáveis.
Outros limpadores que os invasores implantaram contra alvos na Ucrânia este ano incluem RURansom, IsaacWiper e CaddyWiper , uma ferramenta que o infame grupo Sandworm da Rússia tentou implantar em sistemas Windows associados à rede elétrica da Ucrânia. Em muitos desses ataques, os agentes de ameaças que realmente os executaram parecem ter obtido os limpadores de diferentes autores.
Outro fator que os respondentes de segurança precisam ter em mente é que os limpadores nem sempre excluem arquivos do sistema de destino; às vezes, os limpadores podem prejudicar um sistema de destino substituindo arquivos também. Isso pode fazer diferença ao tentar recuperar arquivos após um ataque de limpeza.
” Excluir um arquivo geralmente deixa o arquivo no disco como está, enquanto marca o tamanho como livre para uso em novas operações de gravação”, escreveu Kersten em um post de blog sobre sua pesquisa, lançado em conjunto com sua palestra Black Hat em novembro 15. Isso possibilita a recuperação de arquivos em muitos casos, disse ele.
Quando uma ferramenta de limpeza corrompe os arquivos substituindo-os, pode ser mais difícil recuperá-los. Na postagem do blog, Kersten apontou para o limpador WhisperGate, que corrompia arquivos substituindo repetidamente o primeiro megabyte de cada arquivo com 0xCC. Outros limpadores como o RURansom usam uma chave de criptografia aleatória para cada arquivo, enquanto alguns limpadores sobrescrevem arquivos com cópias do próprio malware. Nesses casos, os arquivos podem permanecer inutilizáveis.
O principal argumento é que as organizações precisam se preparar para os limpadores da mesma forma que se preparam para infecções por ransomware, diz Kersten. Isso inclui ter backups para todos os dados críticos e testar os processos de recuperação com frequência e em escala.
“Quase todo limpador é capaz de corromper um sistema até o ponto em que todos os arquivos são perdidos ou a máquina não funciona mais corretamente.”, observa ele. “Como os limpadores são fáceis de construir, os atacantes podem construir um novo diariamente, se necessário.”
Portanto, o foco das organizações está nas táticas, técnicas e procedimentos (TTPs) do adversário — como movimento lateral — em vez do próprio malware.
“É melhor se preparar para o impacto [de um ataque de limpador] quando não há nenhum”, diz Kersten, “do que ser atingido com força total sem aviso prévio.”
FONTE: DARK READING