Proteção de Dados: Os maiores e piores ataques de ransomware de todos os tempos – Parte 1
Os piores ataques de ransomware – Dê uma olhada na história do ransomware e perceba que os seus ataques tem sido cada vez mais prejudiciais, a cada ameaça.
O ransomware tem sido uma ameaça proeminente para empresas, órgãos de governos e indivíduos desde meados dos anos 2000. Em 2017, o Centro de Queixas contra Crimes na Internet (IC3) do FBI recebeu 1.783 reclamações de ransomware que custaram às vítimas mais de US$ 2,3 milhões.
Essas queixas, no entanto, representam apenas os ataques reportados ao IC3. O número real de ataques e custos de ransomware é muito maior. De fato, havia cerca de 184 milhões de ataques de ransomware no ano passado.
O ransomware foi originalmente destinado a segmentar indivíduos, que ainda constituem a maioria dos ataques atuais.
Neste artigo, examinamos a história do ransomware, desde seu primeiro ataque documentado em 1989, até os dias atuais. Discutimos em detalhes alguns dos ataques e variantes de ransomware mais significativos. Finalmente, vamos dar uma olhada até onde o ransomware está indo em 2018 e o que vem por aí.
O que é o Ransomware?
O ransomware é um tipo de software malicioso que obtém acesso a arquivos ou sistemas e bloqueia o acesso do usuário a esses arquivos ou sistemas. Em seguida, todos os arquivos, ou até mesmo dispositivos inteiros, são mantidos como reféns usando criptografia até que a vítima pague um resgate em troca de uma chave de descriptografia. A chave permite que o usuário acesse os arquivos ou sistemas criptografados pelo programa.
Enquanto o ransomware existe há décadas, as variedades de ransomware se tornaram cada vez mais avançadas em suas capacidades de disseminação, evitando a detecção, criptografando arquivos e coagindo os usuários a pagar resgates. “O ransomware New Age envolve uma combinação de esforços avançados de distribuição, como infraestruturas pré-construídas usadas para distribuir novas variedades de maneira fácil e ampla, além de técnicas avançadas de desenvolvimento, como o uso de criptografias para garantir que a engenharia reversa seja extremamente difícil”, explica Ryan Francis, editor de gerenciamento de CSO e Network World.
“Além disso, o uso de métodos de criptografia off-line está se tornando popular, no qual o ransomware aproveita os recursos legítimos do sistema, como o CryptoAPI da Microsoft, eliminando a necessidade de comunicações Command e Control (C2)”.
Como os ataques de Ransomware funcionam
Agora que temos uma definição flexível de ransomware, vamos dar uma explicação mais detalhada de como esses programas mal-intencionados obtêm acesso aos arquivos e sistemas de uma empresa.
O termo “ransomware” descreve a função do software, que é extorquir usuários ou empresas para obter ganhos financeiros. No entanto, o programa tem que obter acesso aos arquivos ou sistema que irá conter o resgate. Esse acesso acontece por meio de vetores de infecção ou ataque.
O software de malware e vírus compartilha semelhanças com doenças biológicas. Devido a essas semelhanças, os pontos de entrada considerados são frequentemente chamados de “vetores”, muito parecido com o mundo da epidemiologia usa o termo para portadores de patógenos nocivos.
Como o mundo biológico, existem várias maneiras de os sistemas serem corrompidos e subsequentemente resgatados. Tecnicamente, um ataque ou vetor de infecção é o meio pelo qual o ransomware obtém acesso.
Exemplos de tipos de vetores incluem:
ANEXOS DE EMAIL
Um método comum de fraude usado para distribuir ransomware é o envio de uma razão convincente para as empresas abrirem um malware disfarçado como um anexo de e-mail urgente. Se uma fatura chegar ao proprietário de uma empresa ou ao departamento de contas a pagar, é provável que ela seja aberta. Essa tática, como muitas relacionadas nessa lista, envolve-se em engano para obter acesso a arquivos e / ou sistemas.
MENSAGENS NAS REDES SOCIAIS
Outro meio de engano empregado por assaltantes de ransomware é enviar mensagens às vítimas nas redes sociais. Um dos canais mais importantes usados nessa abordagem é o Facebook Messenger. Contas que imitam os “amigos” atuais de um usuário são criadas. Essas contas são usadas para enviar mensagens com anexos de arquivos. Depois de aberto, o ransomware pode acessar e bloquear as redes conectadas ao dispositivo infectado.
POP-UPS
Outro vetor de ransomware comum, porém mais antigo, são os “pop-ups” on-line. Os pop-ups são feitos para imitar o software usado atualmente, para que os usuários se sintam mais à vontade seguindo os prompts, que são projetados para prejudicar o usuário.
O primeiro ataque de Ransomware
Embora o ransomware tenha mantido a proeminência como uma das maiores ameaças desde 2005, os primeiros ataques ocorreram muito antes. De acordo com o Becker’s Hospital Review, o primeiro ataque de ransomware conhecido ocorreu em 1989 e teve como alvo o setor de saúde. 28 anos depois, o setor de saúde continua sendo o principal alvo de ataques de ransomware.
O primeiro ataque conhecido foi iniciado em 1989 por Joseph Popp, pesquisador da Aids, que realizou o ataque distribuindo 20.000 disquetes para pesquisadores de AIDS em mais de 90 países, alegando que os discos continham um programa que analisava o risco de um indivíduo adquirir AIDS através do uso de um questionário. No entanto, o disco também continha um programa de malware que inicialmente permaneceu adormecido em computadores, ativando apenas após um computador ser ligado 90 vezes. Depois que o limite inicial de 90 foi atingido, o malware exibiu uma mensagem exigindo um pagamento de US$ 189 e outros US$ 378 para uma concessão de software. Este ataque de ransomware tornou-se conhecido como o AIDS Trojan, ou o PC Cyborg.
A evolução de Ransomware
Naturalmente, esse primeiro ataque de ransomware foi rudimentar, na melhor das hipóteses, e os relatórios indicam que ele tinha falhas, mas preparou o cenário para a evolução do ransomware nos ataques sofisticados realizados hoje.
Os primeiros desenvolvedores de ransomware geralmente escreviam seu próprio código de criptografia, de acordo com um artigo da Fast Company. Os invasores de hoje estão cada vez mais dependentes de “bibliotecas de prateleira que são significativamente mais difíceis de resolver” e estão aproveitando métodos de entrega mais sofisticados, como campanhas de spear-phishing, em vez dos tradicionais e-mails de phishing, que são frequentemente filtrados por filtros de spam de e-mail hoje.
Alguns invasores sofisticados estão desenvolvendo kits de ferramentas que podem ser baixados e implantados por invasores com menos habilidades técnicas. Alguns dos criminosos cibernéticos mais avançados estão monetizando o ransomware oferecendo programas de ransomware como serviço, o que levou ao aumento da proeminência de ransomwares conhecidos como CryptoLocker, CryptoWall, Locky e TeslaCrypt. O CryptoWall sozinho gerou mais de US$ 320 milhões em receita.
Depois do primeiro ataque de ransomware documentado em 1989, esse tipo de cibercrime permaneceu incomum até meados dos anos 2000, quando os ataques começaram a utilizar algoritmos de criptografia mais sofisticados e mais difíceis de quebrar, como a criptografia RSA.
Populares durante esse tempo foram Gpcode, TROJ.RANSOM.A, Archiveus, Krotten, Cryzip e MayArchive. Em 2011, surgiu um worm de ransomware que imitava o aviso de ativação de produto do Windows, dificultando para os usuários a diferença entre as notificações e ameaças genuínas.
Em 2015, várias variantes afetando várias plataformas estavam causando estragos em usuários em todo o mundo. O SecureList da Kaspersky relata que de abril de 2014 a março de 2015, as ameaças de ransomware mais proeminentes foram CryptoWall, Cryakl, Scatter, Mor, CTB-Locker, TorrentLocker , Fury, Lortok, Aura e Shade. “Entre eles, eles foram capazes de atacar 101.568 usuários em todo o mundo, respondendo por 77,48% de todos os usuários atacados com ransomware de criptografia durante o período”, afirma o relatório.
Em apenas um ano, a paisagem mudou significativamente. De acordo com a pesquisa de Kaspersky 2015-2016, “TeslaCrypt, juntamente com CTB-Locker, Scatter e Cryakl foram responsáveis por ataques contra 79,21% daqueles que encontraram qualquer ransomware crypto-ransomware”.
O Sophos Central Endpoint e o Sophos InterceptX oferece recursos de Detecção e Resposta de Endpoint que podem ajudá-lo a evitar que o ransomware afete seus negócios.
Tem algo a dizer sobre este artigo? Comente abaixo ou compartilhe conosco no Facebook, Twitter ou no nosso LinkedIn.
Leia também:
– 10 dicas para evitar perda de dados.
– A prevenção de perda de dados (DLP) tradicional está morrendo?
– Proteção de Dados – Aqui estão as maiores ameaças de segurança cibernética a serem observadas em 2018.