Ransomware: alteração no código pode reativá-lo

19/05 - HardSoft

Nos últimos dias, um ataque massivo de ransomware ocorreu afetando empresas, organizações governamentais e indivíduos em mais de 100 países. O ransomware - chamado WannaCry - criptografa o disco rígido da vítima e exige um resgate por aproximadamente US$ 300, pago com a moeda virtual bitcoin.

Embora a variante de ransomware envolvida em dezenas de milhares de incidentes tenha sido inofensiva em alguns casos, a equipe de cyber ​​security e investigações da Kroll alerta que uma pequena alteração no código do malware poderia reativá-lo. Assim, é importante reduzir o risco preparando-se para futuros ataques inevitáveis ​​semelhantes. Especialmente pequenas e médias empresas, que por não possuir muitos recursos em TI, estão particularmente vulneráveis. Uma vez na rede, o malware tem a capacidade de se espalhar rapidamente.

Diante disso, algumas dicas práticas a serem lembradas são:

• Entendemos que pode haver circunstâncias muito específicas que exigem o uso de versões antigas de sistemas operacionais, mas agora é a hora de revisitar o tópico.

• Permitir que ocorram atualizações de sistema é uma defesa importante contra o ransomware WannaCry. Como indicador da gravidade da ameaça, note que a Microsoft lançou até mesmo uma revisão de segurança para o antigo sistema Windows XP, por exemplo.

• Organizações que não têm planos de backup e recuperação bem planejados também estão muito vulneráveis. A gerência deve estar atenta para garantir que todos os arquivos importantes sejam copiados de maneira a impedir que um ransomware ataque os arquivos primários e os backups.

Os especialistas da Kroll vêm trabalhando na mitigação de riscos de ransomware e outras formas de malware por um longo período.

Por: Comunique-se

Sequestro de dados: uma ameaça aos escritórios contábeis

27/03 - Airton Guerner* / HardSoft

Imagine você chegando no seu escritório para trabalhar. Como é início de mês, tem de finalizar as importações, começar a gerar as guias e transmitir as obrigações do período, pois os clientes já estão cobrando.

Ao tentar acessar o sistema, percebe várias mensagens de erro e não encontra mais as informações que estavam lá no dia anterior.

Todo o trabalho de importação, ajustes, conferência, assim como todo o histórico das empresas durante todo o tempo que esteve com o escritório, simplesmente desapareceu.

Obviamente, você tenta contato com suporte técnico que após analisar o problema, passa o diagnóstico: o seu escritório foi vítima de um sequestro de dados.

Como coordenador de uma equipe que presta suporte a escritórios contábeis, tenho me deparado mais e mais com esta mesma história. Mas afinal o que é sequestro de dados?

O sequestro de dados é uma prática criminosa que vem crescendo exponencialmente em todo o mundo. 

Se valendo de brechas na infraestrutura de TI das empresas, os criminosos utilizam programas chamados de "ramsonwares" que é a fusão das palavras inglesas "ransom" (resgate) e "malwares"(software malicioso).

Apesar do nome “sequestro de dados”, o golpe não envolve transferência dos dados do computador, o que o programa faz é criptografar arquivos importantes como banco de dados, documentos e imagens. Ao final ele deixa uma mensagem de "resgate" com instruções de como efetuar o depósito dos valores para que se recupere o acesso as informações.

Como o meu escritório foi infectado?

Existem várias formas, mas a mais comum é pela caixa de e-mail. Através de mensagens falsas, geralmente com temas atuais e recorrentes no dia a dia do escritório como "Aviso de CND Negativa", "Novas Leis de tributação", "Segue notas fiscais", os usuários são induzidos a abrir os anexos que na verdade são executáveis com extensões PDF, JPG e outras de aparência inofensiva, e assim iniciar a infecção.

O vírus Cryptowall por exemplo, utiliza o JavaScript como parte de um anexo de e-mail, que baixas executáveis disfarçados como imagens.

Depois de instalado, o programa começará a procurar por arquivos de dados como: (Xls, wpd, wb2, txt, tex, swf, SQL, tf, RAW, ppt, png, pem, pdf, pdb, PAS, odt, obj, msg, mpg, mp3, lua, key, jpg, hpp, gif, eps, DTD, doc, der, CRT, cpp, cer, bmp, bay, avi, Ava, ass, asp, js, py, PL, dB). Ele faz isso varrendo todas as unidades conectadas incluindo unidades removíveis e mapeamentos de rede.

Note que o programa foca apenas nos arquivos que contenham “informação”. Ele não afeta a instalação do sistema operacional.

Nas pastas que continham os dados podem ser encontrados arquivos .TXT, .HTML e .PNG com informações sobre o que aconteceu com seus dados e qual o procedimento para recuperá-los. O arquivo .URL é um atalho para um site onde você informará o recibo de pagamento afim de obter a senha que permitirá descompactar os arquivos.

Comumente, os sequestradores pedem que o resgate seja pago em Bitcoins, que é uma moeda virtual aceita em todo o mundo. Um dos motivos para esta escolha, é que as transferências de Bitcoins podem ser feitas diretamente de uma pessoa para outra de forma anônima, impedindo assim o rastreamento. Atualmente um (1,00) Bitcoin equivale a três mil novecentos e dezessete reais (R$ 3.917,00) e vários bancos, incluído os brasileiros, convertem o Bitcoin em reais.

Exemplo de mensagem com instruções para o pagamento do resgate dos dados do CTB-Locker:

Fonte: http://www.abctec.com.br/sequestro-da-dados-alerta-aos-nossos-clientes-e-parceiros-comerciais/

É possível descriptografar estes arquivos sem pagar o resgate?

É um pouco mais complicado que isso. Apesar dos arquivos estarem basicamente compactados, a tecnologia de criptografia utilizada é muito avançada e demanda muito empenho e recursos para conseguir descobrir estas senhas. Para piorar, na mesma velocidade que elas são quebradas, surgem novas variantes dos vírus com tecnologias mais complexas.

A forma mais rápida e segura para se recuperar os dados afetados, com garantia de integridade e retomar a rotina de trabalho é através da cópia de segurança ou backup.

Implementar uma rotina de backup não é algo complicado, difícil ou caro de se fazer, exige apenas disciplina e planejamento.

O primeiro passo é definir os arquivos que serão salvos e sendo um escritório contábil, há muita coisa:

1. Notas fiscais eletrônicas(xml);

2. Recibos de entregas(SPED, DCTF, EFC, etc…);

3. E-mails;

4. Recibos de pagamentos;

5. Sistemas(Fiscal, Contábil, Folha de pagamento);

6. Contratos;

Em seguida, defina a ferramenta que será utilizada. Existem vários aplicativos gratuitos que executam muito bem esta função, um dos mais conhecidos é o Cobian Backup.

É fácil de configurar, é gratuito, e já está na sua 11.0. São quase 17 anos de experiência. Possui muitos recursos úteis, como criptografia, você pode programar ações antes e depois do backup, possibilidade de salvar a cópia nas nuvens entre outros.

Existem vários tutoriais na internet que ensinam como configurar esta ferramenta, basta acessar o Youtube e pesquisar.

Por fim algumas regras que devem ser levadas a sério ao se implementar uma rotina de backup eficiente:

Tenha quantas cópias possíveis – De nada adianta o backup estar no mesmo HD que os dados originais. Qualquer problema com ele comprometerá o backup também. Salve uma cópia em mídia externa como DVDs, Pendrives, Hd Externos e nas nuvens. De preferência, deixe cópias fora do escritório também;

Verifique a integridade das cópias – Não deixe para verificar se o backup foi feito correto somente quando precisar dele. Sempre que possível tente recuperar alguns arquivos aleatoriamente para checar se as cópias estão sendo feitas corretamente;

Tenha sempre um servidor reserva – Nunca se sabe quando você vai precisar dele. Mesmo que você tenha a cópia dos arquivos, em caso de um ataque virtual, será necessário fazer uma varredura ou até formatar o servidor antes de recuperar os dados. Isso demanda tempo. Com um servidor reserva, o seu escritório pode ficar operacional em poucas horas. 

O backup não previne apenas danos causados pelos ramsonwares. Falhas elétricas, problemas no HD, roubo, incêndio e funcionários insatisfeitos também podem causar muitos estragos ao escritório contábil.

E se eu não tiver backup?

Neste caso é melhor rezar, literalmente. Mas ainda há uma esperança.

Muitas empresas da área de segurança e redes vem pesquisando soluções e disponibilizando ferramentas gratuitas para tentar auxiliar aqueles que foram afetados a recuperarem os arquivos sem ter de pagar o resgate. Vale a pena conferir.

Kaspersky Lab

A Kaspersky Lab, desenvolvedora russa do antivírus Kaspersky, desenvolveu um portal que fornece informações e ferramentas para tentar recuperar os arquivos criptografados por alguns ransomwares conhecidos.

Site: https://noransom.kaspersky.com/

Talos TeslaCrypt Decryption Tool

O grupo de segurança da Cisco fez uma análise detalhada do TeslaCrypt, uma variante do CryptoWall, que foi recentemente descoberto. Além disso, eles disponibilizaram uma ferramenta que irá auxiliar na recuperação de seus arquivos.

Site: http://blogs.cisco.com/security/talos/teslacrypt

Existem outras duas ferramentas que podem ajudar a recuperar seus arquivos que foram criptografados pelo TeslaCrypt. Confira os links abaixo.

https://github.com/Googulator/TeslaCrack

http://download.bleepingcomputer.com/BloodDolly/TeslaDecoder.zip

Força conjuta

O website "No-More-Ransom" é uma iniciativa da Polícia Nacional de Crimes de Alta Tecnologia da Holanda, do Centro Europeu de Cibercriminalidade da Europol e duas empresas de segurança cibernética: Kaspersky Lab e Intel Security. O objetivo é ajudar as vítimas de ransomware a recuperar seus dados criptografados sem ter que pagar os criminosos.

https://www.nomoreransom.org/

TrendMicro

A TrendMicro também tem uma ferramenta que consegue remover a criptografia de alguns tipos de ransomwares e tem sido atualizada constantemente. Atualmente a ferramenta suporta o CryptXXX, TeslaCrypt, SNSLocker, AutoLocky, BadBlock, 777, XORIST, XORBAT, CERBER, Stampado, Nemucod, Chimera, LECHIFFRE e MirCop.

https://success.trendmicro.com/solution/1114221

DropBox e Google Drive

Se os seus arquivos no DropBox ou Google Drive foram criptografados por um ransomware, eles oferecem uma opção de você recuperar os arquivos para uma versão mais antiga, confira nos endereços abaixo:

DropBox: https://www.dropbox.com/help/8408

Google Drive: https://support.google.com/drive/answer/2409045?hl=en

Recuperando os arquivos deletados.

Como mencionei, após criptografar os dados, o vírus deleta os arquivos originais. 

Ao se deletar um arquivo, ele não necessariamente deixa de existir. Ele continuará no seu computador, mas estará inacessível e invisível ao Windows. 

Isto porque o Windows remove apenas o endereço do arquivo deletado na tabela de alocação de arquivos e libera a área do disco que ele usa para gravação de novos dados. Enquanto essa área não é sobrescrita por novos arquivos, existe a possibilidade de recuperação das informações que estavam gravados nessa área.

Alguns programas que podem recuperar estes arquivos: 

1. Recuva;

2. Disk Drill;

3. QPhotoRec;

4. Power Data Recovery;

5. DiskDigger;

6. iCare Data Recovery Free

Vale lembrar que este método não é garantia de que seus arquivos serão recuperados integralmente. Vai depender também dos tipos de dados que você deseja recuperar.

Arquivos menores como documentos, fotos, e-mails e planilhas tem mais chance de serem recuperados desta forma. O mesmo não se aplica a bases de dados de sistemas.

A única solução que permite a recuperação integral é a cópia de segurança ou backup.

Conclusão

Prevenção ainda é a melhor solução. Atitudes simples podem evitar uma grande dor de cabeça que pode inclusive causar o fechamento do escritório.

Use sempre software original e procure mantê-lo atualizado. Programas piratas podem vir acompanhados de vírus e outras pragas virtuais;

Use antivírus e firewall confiáveis e os mantenha sempre atualizados;

Não abrir e-mails com anexos suspeitos, como por exemplo, com a extensão “.exe”.;

Desconectar da rede ou desligar a energia quando desconfiar que o ransomware está sendo executado, para interromper o processo de criptografia dos arquivos;

Habilitar o recurso de restauração do sistema, o que permitirá reverter a um estado prévio e sem a infecção.

Habilitar a função de exibição das extensões dos arquivos. O ransomware pode se disfarçar de arquivo com alguma extensão confiável, como um PDF. Vendo o nome completo do arquivo, é possível identificar um *.pdf.exe, por exemplo

Fontes: http://labs.siteblindado.com/2015/05/ransomware-o-que-e-e-como-recuperar.html

http://labs.siteblindado.com/2015/05/ransomware-o-que-e-e-como-recuperar.html

https://canaltech.com.br/coluna/seguranca/golpe-do-sequestro-que-nada-o-crime-do-ano-e-o-ransomware/

*Airton Guerner - Coordenador Suporte ao cliente - Escrita Fiscal na SCI Sistemas Contábeis, Apresentador do programa de televisão HardSoft, MBA em Governança de TI - ICPG, Pós Graduação em Consultoria e Implantação de Software - ICPG, Bacharel Sistemas de Informação - Uniasselvi.

No More Ransom: autoridades policiais e empresas de segurança de TI unem forças para combater o ransomware

26/07 - Medialink Comunicação

Uma nova ferramenta contendo mais de 160 mil chaves auxiliará as vítimas na recuperação de seus dados

A Polícia Nacional Holandesa, Europol, Intel Security e Kaspersky uniram forças para lançar uma iniciativa chamada No More Ransom, uma nova etapa na cooperação entre as autoridades policiais e o setor privado para combaterem juntos o ransomware. No More Ransom (www.nomoreransom.org) é um novo portal on-line dedicado a informar o público sobre os perigos do ransomware e auxiliar as vítimas a recuperar seus dados sem precisar pagar resgate aos criminosos cibernéticos.

O ransomware é um tipo de malware que bloqueia o computador das vítimas e criptografa seus dados, exigindo pagamento para que a vítima recupere o controle sobre dispositivos ou arquivos infectados. O ransomware é a principal ameaça para as autoridades policiais da UE: quase dois terços dos Estados-membros da UE estão realizando investigações sobre essa forma de ataque de malware. Embora o alvo do ransomware seja na maioria das vezes dispositivos de usuários individuais, redes corporativas e até mesmo do governo também são afetadas. O número de vítimas está crescendo em um ritmo alarmante: de acordo com a Kaspersky Lab, o número de usuários atacados pelo crypto-ransomware aumentou 5,5%, de 131 mil em 2014/2015 para 718 mil em 2015/2016.

NoMoreRansom.org

O objetivo do portal www.nomoreransom.org é fornecer um recurso on-line útil para as vítimas de ransomware. Os usuários podem encontrar informações sobre o que é ransomware, como ele funciona e o mais importante, como se proteger. A conscientização é fundamental já que, até hoje, não há ferramentas de descriptografia disponíveis para todos os tipos de malware existentes. Se você for infectado, as chances dos seus dados serem perdidos para sempre são altas. Em primeiro lugar, o uso da Internet de forma consciente, seguindo um conjunto de dicas de segurança cibernética simples, pode ajudar a evitar a infecção.

O projeto oferece aos usuários as ferramentas que podem auxiliá-los a recuperar seus dados depois de terem sido bloqueados por criminosos. Nesta primeira fase, o portal contém quatro ferramentas de descriptografia para diferentes tipos de malware, o mais recente foi desenvolvido em junho de 2016, para a variante do Shade.

Shade é um cavalo de Troia do tipo ransomware, que surgiu no final de 2014. Este malware é espalhado através de sites maliciosos e anexos de e-mail infectados. Depois de entrar no sistema do usuário, o Shade criptografa arquivos armazenados e cria um arquivo .txt contendo a mensagem sobre o resgate e instruções dos criminosos cibernéticos sobre o que o usuário deve fazer para ter seus arquivos pessoais de volta. O Shade utiliza algoritmo de descriptografia forte para cada arquivo criptografado, com duas chaves AES de 256 bits geradas: uma é utilizada para criptografar o conteúdo do arquivo, enquanto a outra é utilizada para criptografar o nome do arquivo.

Desde 2014, a Kaspersky Lab e a Intel Security evitaram mais de 27 mil tentativas de ataques a usuários através do cavalo de Troia Shade. A maioria das infecções ocorreu na Rússia, Ucrânia, Alemanha, Áustria e Cazaquistão. O Shade também teve atividade registrada na França, República Tcheca, Itália e nos EUA.

Ao trabalhar em estreita colaboração e compartilhamento de informação entre as diferentes partes, o servidor de comando e controle do Shade, utilizado pelos criminosos para armazenar chaves para descriptografia, foi apreendido e as chaves foram capturadas pela Kaspersky Lab e pela Intel Security. Isso auxiliou no desenvolvimento de ferramentas especiais, cujo download pode ser feito pelas vítimas no portal No More Ransom, para recuperar seus dados sem pagar aos criminosos. A ferramenta contém mais de 160 mil chaves.

Cooperação público-privada

O projeto foi concebido como uma iniciativa não comercial, que visa manter instituições públicas e privadas sob a mesma proteção. Devido à natureza mutável do ransomware, com criminosos desenvolvendo novas variantes em uma base regular, este portal é aberto à cooperação de novos parceiros.

Wilbert Paulissen, Diretor da Divisão Nacional de Investigação Criminal da Polícia Nacional dos Países Baixos: “Nós, a polícia holandesa, não podemos lutar contra o crime cibernético, e o ransomware em particular, sozinhos. Esta é uma responsabilidade conjunta da polícia, do Departamento de Justiça, a Europol e as empresas de TIC, e requer um esforço conjunto. É por isso que estou muito feliz com a colaboração entre a polícia, a Intel Security e a Kaspersky Lab. Juntos, vamos fazer tudo o que estiver ao nosso alcance para atrapalhar a lucratividade dos criminosos e devolver os arquivos aos seus legítimos proprietários, sem que esses tenham pagar rios de dinheiro”.

“O maior problema com cripto-ransomware hoje é que, quando os usuários têm dados importantes bloqueados, eles imediatamente pagam aos criminosos para recuperá-los. Isso impulsiona a economia clandestina e como resultado aumentam o número de novos criminosos e o número de ataques. Só podemos mudar a situação se coordenarmos nossos esforços para lutar contra o ransomware. O surgimento de ferramentas de descriptografia é apenas o primeiro passo nessa estrada. Esperamos que esse projeto seja estendido, e em breve haverá muito mais empresas e autoridades policiais de outros países lutando juntos contra o ransomware”, disse Jornt van der Wiel, Pesquisador de Segurança da Global Research e da equipe de analistas da Kaspersky Lab.

“Esta iniciativa mostra a força da cooperação público-privada em tomar medidas sérias na luta contra o crime cibernético”, disse Raj Samani, CTO da Intel Security da Europa, do Oriente Médio e da África. “Esta colaboração vai além do compartilhamento de informações, da orientação ao consumidor e das mobilizações para ajudar a reparar o dano causado às vítimas. Ao restabelecer o acesso aos seus sistemas, capacitamos os usuários, mostrando-lhes que eles podem agir e evitar premiar os criminosos com o pagamento de resgate.”

Wil van Gemert, Diretor-Adjunto de Operações da Europol, finaliza: “Há anos o ransomware vem se tornando uma preocupação predominante para as autoridades policiais da UE. É um problema que afeta os cidadãos e as empresas igualmente, computadores e dispositivos móveis, com os criminosos desenvolvendo técnicas mais sofisticadas para causar maior impacto nos dados das vítimas. Iniciativas como o projeto No More Ransom mostram que somar o conhecimento específico com a união de forças é o caminho para o sucesso na luta contra o crime cibernético. Esperamos ajudar muitas pessoas a recuperar o controle dos seus arquivos, aumentando a consciência e educando a população sobre como manter seus dispositivos livres de malware.”

Informar sempre

Informar sobre o ransomware às autoridades policiais é muito importante para auxiliá-las a obter um panorama geral mais claro e dessa maneira, obter maior capacidade para atenuar a ameaça. O site No More Ransom oferece às vítimas a possibilidade de denunciar um crime, com conexão direta com a visão geral da Europol dos mecanismos nacionais de denúncia.

Se de alguma maneira você for vítima do ransomware, recomendamos não pagar o resgate. Ao fazer o pagamento você estará financiando os negócios dos criminosos cibernéticos. Além disso, não há garantias de que pagando o resgate você terá de volta o acesso aos dados criptografados.