Como funciona o ransomware DarkSide e quem está por trás dele | IT Forum
11:05 am - 17 de maio de 2021
Em um relatório recente, pesquisadores da empresa de inteligência de ameaças Flashpoint disseram acreditar "que os agentes de ameaças por trás do ransomware DarkSide são de origem russa e são provavelmente ex-afiliados do grupo REvil RaaS [ransomware-as-a-service]".
O grupo também afirma que não ataca instalações médicas, empresas de pesquisa e distribuição de vacinas contra à Covid, serviços funerários, organizações sem fins lucrativos, instituições educacionais ou organizações governamentais por causa de seus "princípios".
"Somos apolíticos, não participamos da geopolítica, não precisam nos amarrar a um governo definido e buscar nossos outros motivos. Nosso objetivo é ganhar dinheiro, e não criar problemas para a sociedade. A partir de hoje introduzimos moderação e verificamos cada empresa que nossos parceiros desejam criptografar para evitar consequências sociais no futuro". [sic]
As alegações sobre doações e não direcionamento a certos tipos de organizações não foram verificadas e "devem ser atendidas com um alto grau de escrutínio; esses operadores DarkSide estariam longe de ser os primeiros cibercriminosos a fazer tais alegações e não seguir adiante", disseram os pesquisadores da Flashpoint, empresa especializada em Business Risk Intelligence (BRI).
"Com relação às afiliadas do DarkSide, há sobreposição na forma como o ransomware foi entregue, incluindo afiliadas ganhando acesso à rede inicial explorando software vulnerável como Citrix, Remote Desktop Web (RDWeb) ou protocolo de desktop remoto (RDP), realizando movimento lateral e exfiltrando dados confidenciais antes de implantar o ransomware", disseram os pesquisadores da empresa de segurança Intel471 em um relatório.
Um ator DarkSide observado pela Intel471 obteve credenciais de acesso inicial de um corretor de acesso à rede e então usou o serviço de compartilhamento de arquivos Mega.nz para exfiltrar dados, usou um backdoor do PowerShell para persistir na rede e implantou o malware de roubo de informações KPOT junto com o ransomware DarkSide. Outra afiliada recrutou abertamente "testadores de penetração" para usar VPNs e o acesso à rede já obtido para realizar movimento lateral e implantar o ransomware.
"Em março de 2021, o desenvolvedor lançou uma série de novos recursos em um esforço para atrair novas afiliadas", disseram os pesquisadores da Intel471. "Isso incluía versões para direcionar os sistemas baseados em Microsoft Windows e Linux, configurações de criptografia aprimoradas, um recurso completo e integrado embutido diretamente no painel de gerenciamento que permitia às afiliadas organizar ligações destinadas a pressionar as vítimas a pagar resgates e uma maneira de lançar um ataque de negação de serviço (DDoS)".