Blog

Insights para sua Transformação Digital

Há um novo ataque de ransomware em andamento na Europa e na Rússia

Especialistas da Kaspersky Labs, da ESET e da Proofpoint alertaram os utilizadores para a disseminação do código malicioso Bad Rabbit que sequestra os ficheiros dos computadores afetados e pede um resgate de 0.05 Bitcoin, ou seja, cerca de 260 euros, para os libertar novamente.
Isso tem semelhanças com os surtos WannaCry e Petya no início deste ano.
Na Ucrânia, o ataque foi identificado no aeroporto de Odessa, no metro de Kiev e no Ministério da Infraestrutura, embora não se confirme que é o Bad Rabbit em todas estas situações. Por outro lado, as empresas russas Interfax e Fontanka.ru já confirmaram ter sido vítimas deste código que se espalha disfarçado de atualização do Adobe Flash, explica o Engadget.
Os utilizadores que estão afetados são confrontados com um pedido de resgate e um prazo de 40 horas para pagar, antes de o preço subir novamente.
“Em algumas das empresas, o trabalho foi completamente paralisado – servidores e estações de trabalho são criptografados”, disse o chefe da empresa russa de segurança cibernética Group-IB, Ilya Sachkov, na agência de notícias TASS.
Ainda não há qualquer indicações sobre se esta vaga de ataques está relacionada com o Petya, com o NotPetya ou com o WannaCry, que afetaram milhares de utilizadores em vários países nos últimos tempos. Ainda nenhum grupo de hackers reinvindicou a autoria dos ataques.
Veja mais detalhes:

Histórico

Oct 24, 2017 – ESET article posted to WeLiveSecurity web site
Oct 24, 2017 – XFE collection created
Oct 25, 2017 – XFE collection assessment published in XFTAS newsletter

Empresas

Interfax
Fontanka
Kiev Metro
Transportation industry
Government organizations

Países já afetados

Russia: 65%
Ukraine: 12.2%
Bulgaria: 10.2%
Turkey: 6.4%
Japan: 3.8%
Other: 2.4%

Industrias

Transportation
Government
News agencies

Tipo de ataque

Ransomware
Credential theft

Indicadores de compromisso (IoCs)

79116fe99f2b421c52ef64097f0f39b815b20907
413eba3973a15c1a6429d9f170f3e8287f98c21c
16605a4a29a101208457c47ebfde788487be788d
4f61e154230a64902ae035434690bf2b96b4e018
afeee8b4acff87bc469a6f0364a81ae5d60a2add
de5c8d858e6e41da715dca1c019df0bfb92d32c0
1dnscontrol.com/flash_install.php
caforssztxqzf2nm.onion
185.149.120.3
\admin$\infpub.dat
\admin$\cscc.dat
94.41.107.228
109.162.2.39
31.44.10.46
188.143.30.190
109.104.176.20
94.244.149.221
188.190.197.231
77.239.190.205
81.22.135.82
178.216.99.219

Sites comprometidos

Usado Malware

Discoder.D
Mimikatz

Recomendações

Verifique se o software anti-vírus e os arquivos de assinatura associados estão atualizados.
Local Kill Switch (Grupo-IB):
Crie o arquivo C: \ windows \ infpub.dat
Defina-o como somente leitura. Depois disso, mesmo se infectados, os arquivos não serão criptografados.

Please reference the IBM Ransomware Response Guide.