Arquivos data protection | Página 3 de 6 | Gantech Information Safety
Qwerty Ransomware: O vilão é o acesso remoto?
por Rodrigo Henrique | mar 14, 2018 | APTs, data protection, ransomwares
Novo ransomware Qwerty usa GnuPG para criptografar os arquivos do usuário
Descoberto originalmente pelo MalwareHunterTeam, ele é instalado manualmente pelo atacante quando via acesso remoto ao computador da vítima, pelo serviço Remote Desktop Services.
A técnica de sequestro do Qwerty, se baseia em utilizar o programa GnuPG para criptografar os arquivos do usuário no computador infectado. O GnuPG é um programa legítimo que está sendo usado ilegalmente pelo ransomware Qwerty. E o fato do Qwerty usar este programa não é bem uma novidade, pois ele já foi usado anteriormente por ransomwares como o VaultCrypt e KeyBTC.
Composto por diversos arquivos individuais,os quais para criptografar os arquivos no computador são executados simultaneamente, incluem-se o executável gpg.exe, o executável shred.exe, o arquivo de lote key.bat que gera as chaves, o arquivo run.js e o arquivo find.exe:
E na prática, como ele age?
O primeiro arquivo executado é o key.bat. Ele age executando vários comandos de forma sequencial para o ransomware. Quando o key.bat é executado, as chaves serão importadas.
Depois que as chaves forem importadas, o key.bat executará o arquivo run.js. Este arquivo por sua vez executará o find.exe, que é o principal componente do ransomware Qwerty.
O find.exe especificará a letra do drive que será criptografado e executará os seguintes comandos:
Em seguida ele começará o processo de criptografia de cada drive detectado com o comando abaixo:
gpg.exe –recipient qwerty -o "%s%s.%d.qwerty" –encrypt "%s%s"
Os arquivos criptografados receberão a extensão .qwerty depois que o processo todo for concluído. Por exemplo, uma imagem teste.jpg ficará com a extensão teste.jpg.qwerty.
Depois que os arquivos forem criptografados, o shred.exe será executado para sobrescrever os originais:
shred -f -u -n 1 "%s%s"
É importante destacar que os arquivos só são sobrescritos uma única vez, o que torna possível recuperá-los usando um software especializado em recuperação de arquivos.
O pedido de resgate do ransomware Qwerty no arquivo README_DECRYPT.txt contém instruções para que a vítima entre em contato através do email cryz1@protonmail.com para receber as informações de pagamento.
No momento não existe uma ferramenta para ajudar o usuário a desbloquear os arquivos sem pagar o resgate.
Ransomware Annabelle: Tudo o que você precisa saber sobre ele!
por Rodrigo Henrique | fev 26, 2018 | APTs, data protection, ransomwares
Descoberto pelo pesquisador Bart, este Ransomware é capaz de literalmente "ferrar" seu computador. Inspirado na franquia de terror, este mais nova variante do vetor de ataque foi desenvolvida para além de obter lucro com o resgate, testar as habilidades do usuário e das tecnologias de proteção do sistema.
Sua principal característica é a desativação de softwares de segurança instalados na máquina (ex: Windows Defender). E além de executar a tradicional criptografia dos arquivos, ele ainda se espalha por dispositivos de armazenamento USB, chegando em alguns casos até sobrescrever setores mestre de inicialização da máquina. Tal atividade, gera um bootloader personalizado mascarado como legítimo.
Em sua primeira execução, o Annabelle configurará o Windows para que ele inicialize quando o usuário fizer logon no sistema. Após isso, ele iniciará a desativação de uma série de programas presentes, como por exemplo:
Task Manager entre outros.
E não pára por ai! Ele ainda irá executar configurações alterando as entradas de registro do Windows, visando bloquear o acesso dos usuários aos aplicativos acima. Na sequência, tentará se espalhar pelo sistema utilizando arquivos autorun.inf (nas versões mais antigas). Já nas atuais, ele partirá para a criptografia direta dos arquivos.
Utilizando a chamada "chave estática", o conteúdo bloqueado aparecerá com a extensão .ANNABELLE.
Após finalizada a criptografia, o Ransomware forçará a reinicialização do sistema. E no retorno da sessão, quando o usuário fizer logon será exibida a seguinte tela:
Como resgate, os cibercriminosos responsáveis pelo ataque cobram a quantia de 0,1 Bitcoin por arquivo.
Recomendamos a verificação contínua de anexos de e-mail, links recebidos por e-mail e arquivos compartilhados via pendrive, pois estas são as principais portas de entrada destas ameaças que irão reter os seus dados, além de cobrar caro para devolve-los.
Não caia em falsas promessas de aplicativos que dizem recuperar seus itens criptografados. Consulte sempre um especialista em Segurança da Informação.