Alerta de Ransomware: Ataque Ragnar Locker implanta máquina virtual para evitar segurança

A empresa de cibersegurança britânica Sophos revela ataque de ransomware Ragnar Locker que implanta uma máquina virtual para contornar a segurança.

A empresa de cibersegurança Sophos revelou detalhes sobre o ataque Ragnar Locker que visa empresas exigindo grandes somas em resgate. O ataque usa uma máquina virtual para infectar os computadores alvo. Isso permite que o ataque contorne a segurança dos softwares antivírus locais.

Ransomware Ragnar Locker

O ransomware tende a atingir empresas em vez de indivíduos e exigir grandes quantias de dinheiro para descriptografar seus arquivos. O relatório da Sophos deu um exemplo da Energias de Portugal, que teve dez terabytes de dados roubados e exigiu 1.850 BTC (14,5 milhões de USD no preço de negociação atual). Eles foram ameaçados de que, se o resgate não fosse pago, os atacantes liberariam os dados para o público.

O atacante esconde um pequeno arquivo executável de ransomware dentro de uma imagem virtual e o disfarça como um instalador. De acordo com o relatório da Sophos, “a carga útil do ataque era um instalador de 122 MB com uma imagem virtual de 282 MB” tudo para esconder um arquivo executável de ransomware de 49 kB.

Os atacantes visam as conexões do Protocolo de Área de Trabalho Remota (RDP) do Windows para estabelecer uma posição nas redes visadas. Uma vez que o atacante tenha obtido acesso ao nível de administrador, ele se move pela rede para clientes e servidores usando ferramentas nativas do Windows, como Powershell e Objetos de Diretiva de Grupo (GPOs) do Windows.

Os ataques de ransomware que exigem criptomoeda para descriptografar arquivos têm aumentado nos últimos anos. Recentemente, o Cryptopolitan relatou que a popstar Madonna foi alvo de um esquema de resgate cripto pela REvil. Os atacantes leiloariam informações confidenciais sobre Madonna em 25 de maio, com lance inicial de um milhão de dólares americanos.