PMEs expostas: o risco oculto por trás dos ataques de ransomware "WantToCry"
Introdução
No cenário digital atual, os ataques de ransomware estão evoluindo a uma velocidade alarmante, explorando vulnerabilidades negligenciadas para infiltrar sistemas. Uma dessas vulnerabilidades é a configuração incorreta dos serviços Server Message Block (SMB) , que permite aos invasores acesso não autorizado a dados confidenciais.
O SMB, um protocolo amplamente utilizado para compartilhamento de arquivos e recursos em redes, frequentemente fica vulnerável devido a credenciais fracas, software desatualizado e configurações de segurança inadequadas . Essas configurações incorretas criam uma porta de entrada para que cibercriminosos:
- Obter acesso não autorizado para sistemas.
- Mova-se lateralmente dentro das redes.
- Implantar cargas maliciosas que criptografam arquivos críticos.
As atividades recentes do grupo de ransomware WantToCry destacam a facilidade com que os atacantes podem explorar vulnerabilidades em sistemas SMB para realizar campanhas de ransomware. À medida que as ameaças cibernéticas se tornam mais sofisticadas, proteger as configurações do SMB deixou de ser opcional e tornou-se uma necessidade para salvaguardar dados e infraestrutura críticos.
Pegadas iniciais do WantToCry
Vetores de Emergência e Ataque:
O grupo de ransomware WantToCry , ativo desde dezembro de 2023 , intensificou suas operações em 2024 , visando múltiplos serviços de rede, incluindo:
- SMB (bloco de mensagens do servidor)
- SSH (Shell Seguro)
- FTP (protocolo de transferência de arquivos)
- RPC (chamada de procedimento remoto)
- VNC (computação em rede virtual)
Utilizando ataques de força bruta , o malware explora um banco de dados com mais de um milhão de senhas para comprometer sistemas com credenciais fracas ou padrão.
Uma vez obtido o acesso, o ransomware criptografa remotamente unidades de rede e dispositivos NAS (Network-Attached Storage) expostos publicamente . O atacante deixa para trás uma nota de resgate contendo detalhes sobre o pagamento.
Canais de comunicação do agente de ameaça
Os operadores do WantToCry utilizam plataformas de mensagens criptografadas para se comunicar com as vítimas. A nota de resgate geralmente inclui o seguinte:
- ID do telegrama: https://t.me/want_to_cry_team
- Identificação toxicológica: 963E6F7F58A67DEACBC2845469850B9A00E20E4000CE71B35DE789ABD0BE2F70D4147D5C0C91
Características do WantToCry
O WantToCry segue um padrão clássico de ransomware , modificando extensões de arquivos e exibindo notas de resgate para exigir pagamento.
- Criptografia de arquivo: O ransomware criptografa arquivos e anexa a extensão “.quero_chorar” para cada arquivo afetado.
- Bilhete de resgate: Um arquivo de texto chamado “!quero_chorar.txt” é criado nos diretórios afetados, fornecendo instruções para pagamento de resgate e detalhes de contato.
Fluxo de execução:
- Reconhecimento:
O invasor realiza uma fase de reconhecimento de rede para identificar sistemas com portas SMB expostas (geralmente a porta TCP 445). Essa etapa inclui a varredura de serviços SMB acessíveis e a análise das respostas do sistema para identificar alvos potenciais com configurações de segurança fracas ou vulnerabilidades não corrigidas.
- Exploração via Força Bruta:
Após identificar serviços SMB abertos, o invasor inicia um ataque de força bruta contra o serviço SMB, utilizando um grande dicionário de senhas comumente usadas. Esse processo visa obter credenciais válidas e obter acesso não autorizado ao sistema da vítima.
- Acessando e configurando unidades compartilhadas:
Uma vez autenticado, o invasor enumera compartilhamentos de rede para identificar unidades compartilhadas sensíveis ou críticas. Essas unidades são então mapeadas e configuradas para acesso remoto pela internet, permitindo que o invasor estabeleça uma posição persistente e se prepare para a execução do payload.
- Execução de carga útil (criptografia sem pegada local):
Este ransomware exibe sua atividade de criptografia inteiramente nos discos compartilhados externos, a partir de uma fonte externa, sem deixar nenhum artefato no sistema local. O processo de criptografia é realizado diretamente nos arquivos armazenados nos discos compartilhados, evitando a necessidade de baixar ou processar dados na máquina da vítima. Isso garante que o impacto do ransomware se estenda a todos os arquivos e diretórios acessíveis por meio do disco compartilhado, minimizando a probabilidade de detecção ou análise forense no sistema local.
Visão geral do problema
SMB é um protocolo amplamente utilizado para compartilhamento de arquivos e impressoras em redes Windows. Embora seja essencial para a colaboração, deixar o SMB exposto sem a autenticação adequada pode criar uma porta de entrada para invasores.
Nesses casos, um endereço IP público associado ao sistema afetado tinha o SMB habilitado e acessível pela internet sem autenticação . Isso permitiu que usuários não autorizados acessassem unidades compartilhadas remotamente. Quando exploradas, essas vulnerabilidades podem burlar as defesas do sistema, levando à criptografia de arquivos e à potencial perda de dados.
Detecção
- Indicadores de comprometimento (IOC)
- 194 [.] 36 [.] 179 [.] 18
- 194 [.] 36 [.] 178 [.] 133
- Já temos Detecção (HEUR:Trojan.Win32.EncrSD) em local para atividade de criptografia de unidade compartilhada.
Consequências da configuração incorreta
Deixar o SMB acessível publicamente sem autenticação pode ter consequências graves, incluindo:
- Violações de dados: Acesso não autorizado a arquivos confidenciais.
- Ataques de ransomware: Criptografia de arquivos críticos, tornando-os inacessíveis sem pagamento.
- Tempo de inatividade operacional: Tempos de recuperação prolongados, levando a perdas financeiras e de reputação.
- Maior superfície de ataque: Uma simples configuração incorreta pode atrair invasores oportunistas.
Melhores práticas para mitigar riscos
Para evitar ser vítima de ataques semelhantes, as organizações devem implementar estas medidas de segurança:
- Antivírus: Garantir Seqrite Cura Rápida é atualizado regularmente com as definições mais recentes.
- Desabilite o compartilhamento SMB onde for desnecessário: Se o SMB não for usado ativamente, desative-o para reduzir a exposição potencial.
- Exigir autenticação para acesso SMB: Nunca deixe compartilhamentos SMB acessíveis publicamente sem credenciais adequadas.
- Restringir acesso público: Use firewalls para bloquear o acesso externo às portas SMB (normalmente 445 e 139).
- Auditar regularmente as configurações: Monitore e revise continuamente as configurações de rede e compartilhamento de arquivos para garantir que estejam alinhadas com as melhores práticas de segurança.
- Habilitar sistemas avançados de detecção: Use ferramentas como monitoramento baseado em comportamento para detectar atividades suspeitas e anomalias.
Autor : Umar Khan A
Coautor : Niraj Lazarus Makasare, Dixit Ashokbhai Panchal, Sumit Patil, Matin Tadvi
