[ad_1]
Os hackers usam ransomware para atacar todos os setores, para retornar o acesso aos arquivos da vítima. É um negócio lucrativo. Nos primeiros seis meses de 2023, gangues de ransomware embora a maioria dos governos . Cada vez mais, os profissionais de segurança estão se unindo às autoridades para fornecer ferramentas de descriptografia gratuitas – liberando arquivos bloqueados e eliminando a tentação de as vítimas desembolsarem.
Existem algumas maneiras principais pelas quais os descriptografadores de ransomware criam ferramentas: engenharia reversa para erros, trabalho com autoridades policiais e coleta de chaves de criptografia disponíveis publicamente. A duração do processo varia dependendo da complexidade do código, mas geralmente requer informações sobre os arquivos criptografados, versões não criptografadas dos arquivos e informações do servidor do grupo de hackers. “Apenas ter o arquivo de saída criptografado geralmente é inútil. Você precisa da amostra em si, do arquivo executável”, disse Jakub Kroustek, diretor de pesquisa de malware da empresa de antivírus Avast. Não é fácil, mas rende dividendos às vítimas afetadas quando funciona.
Primeiro, temos que entender como funciona a criptografia. Para um exemplo muito básico, digamos que um dado pode ter começado como uma frase cognoscível, mas aparece como “J qsfgfs dbut up epht” depois de criptografado. Se soubermos que uma das palavras não criptografadas em “J qsfgfs dbut up epht” deveria ser “cats”, podemos começar a determinar qual padrão foi aplicado ao texto original para obter o resultado criptografado. Nesse caso, é apenas o alfabeto inglês padrão, com cada letra avançando uma casa: A se torna B, B se torna C e “Eu prefiro gatos a cachorros” se torna a sequência de bobagens acima. É muito mais complexo para os tipos de criptografia usados por gangues de ransomware, mas o princípio permanece o mesmo. O padrão de criptografia também é conhecido como ‘chave’ e, ao deduzir a chave, os pesquisadores podem criar uma ferramenta que pode descriptografar os arquivos.
Algumas formas de criptografia, como o Advanced Encryption Standard de chaves de 128, 192 ou 256 bits, são praticamente inquebráveis. Em seu nível mais avançado, bits de dados de “texto simples” não criptografados, divididos em pedaços chamados “blocos”, são submetidos a 14 rodadas de transformação e, em seguida, gerados em sua forma criptografada – ou “texto cifrado”. “Ainda não temos a tecnologia de computação quântica que possa quebrar a tecnologia de criptografia”, disse Jon Clay, vice-presidente de inteligência de ameaças da empresa de software de segurança Trend Micro. Mas, felizmente para as vítimas, os hackers nem sempre usam métodos fortes como o AES para criptografar arquivos.
Embora alguns esquemas criptográficos sejam praticamente indecifráveis , e hackers inexperientes provavelmente cometerão erros. Se os hackers não aplicarem um esquema padrão, como o AES, e optarem por construir o seu próprio, os pesquisadores poderão então procurar erros. Por que eles fariam isso? Principalmente ego. “Eles querem fazer algo sozinhos porque gostam ou porque acham que é melhor para fins de velocidade”, disse Jornt van der Wiel, pesquisador de segurança cibernética da Kaspersky.
Por exemplo, veja como o Kaspersky descriptografou o cepa de ransomware. Foi uma cepa direcionada a empresas específicas, com uma lista desconhecida de vítimas. Yanluowang usou a cifra de fluxo Sosemanuk para criptografar dados: um processo de uso gratuito que criptografa o arquivo de texto simples, um dígito por vez. Em seguida, criptografou a chave usando um algoritmo RSA, outro tipo de padrão de criptografia. Mas havia uma falha no padrão. Os pesquisadores conseguiram comparar o texto simples com a versão criptografada, conforme explicado acima, e fazer engenharia reversa de uma ferramenta de descriptografia . Na verdade, há toneladas que têm .
Os descriptografadores de ransomware usarão seu conhecimento de engenharia de software e criptografia para obter a chave do ransomware e, a partir daí, criar uma ferramenta de descriptografia, de acordo com Kroustek. Processos criptográficos mais avançados podem exigir força bruta ou fazer suposições fundamentadas com base nas informações disponíveis. Às vezes, os hackers usam um gerador de números pseudoaleatórios para criar a chave. Um verdadeiro RNG será aleatório, mas isso significa que não será facilmente previsto. Um pseudo-RNG, conforme explicado por van der Wiel, pode se basear em um padrão existente para parecer aleatório quando na verdade não é — o padrão pode ser baseado no momento em que foi criado, por exemplo. Se os pesquisadores souberem parte disso, eles poderão tentar diferentes valores de tempo até deduzirem a chave.
Mas obter essa chave muitas vezes depende do trabalho com as autoridades para obter mais informações sobre como funcionam os grupos de hackers. Se os pesquisadores conseguirem obter o endereço IP do hacker, eles poderão solicitar à polícia local que confisque os servidores e obtenha um despejo de memória de seu conteúdo. Ou, se os hackers usaram um servidor proxy para ocultar sua localização, a polícia pode usar analisadores de tráfego como o NetFlow para determinar para onde vai o tráfego e obter as informações de lá, de acordo com van der Wiel. O torna isso possível através das fronteiras internacionais porque permite que a polícia solicite urgentemente uma imagem de um servidor em outro país enquanto aguarda a solicitação oficial.
O servidor fornece informações sobre as atividades do hacker, como quem ele pode ter como alvo ou o processo de extorsão de resgate. Isso pode informar aos descriptografadores de ransomware o processo pelo qual os hackers passaram para criptografar os dados, detalhes sobre a chave de criptografia ou acesso a arquivos que podem ajudá-los a fazer engenharia reversa do processo. Os pesquisadores vasculham os registros do servidor em busca de detalhes da mesma forma que você pode ajudar seu amigo a descobrir detalhes sobre o encontro do Tinder para ter certeza de que são legítimos, procurando pistas ou detalhes sobre padrões maliciosos que podem ajudar a descobrir as verdadeiras intenções. Os pesquisadores podem, por exemplo, descobrir parte do arquivo de texto simples para comparar com o arquivo criptografado para iniciar o processo de engenharia reversa da chave, ou talvez encontrem partes do pseudo-RNG que podem começar a explicar o padrão de criptografia.
Trabalhando com crie uma ferramenta de descriptografia para o ransomware Babuk Tortilla. Esta versão do ransomware tinha como alvo a saúde, a manufatura e a infraestrutura nacional, criptografando os dispositivos das vítimas e excluindo backups valiosos. A Avast já havia criado um descriptografador Babuk genérico, mas a cepa Tortilla se mostrou difícil de decifrar. A Polícia Holandesa e a Cisco Talos trabalharam juntas para prender a pessoa por trás da cepa e obtiveram acesso ao descriptografador Tortilla no processo.
Mas muitas vezes a maneira mais fácil de criar essas ferramentas de descriptografia vem das próprias gangues de ransomware. Talvez eles estejam se aposentando ou apenas se sentindo generosos, mas às vezes os invasores . Os especialistas em segurança podem então usar a chave para criar uma ferramenta de descriptografia e liberá-la para as vítimas usarem no futuro.
Geralmente, os especialistas não podem compartilhar muito sobre o processo sem dar uma vantagem às gangues de ransomware. Se divulgarem erros comuns, os hackers poderão usar isso para melhorar facilmente suas próximas tentativas de ransomware. Se os pesquisadores nos disserem em quais arquivos criptografados estão trabalhando agora, as gangues saberão que estão atrás deles. Mas a melhor maneira de evitar pagar é ser proativo. “Se você fez um bom trabalho de backup de seus dados, terá uma oportunidade muito maior de não precisar pagar”, disse Clay.
[ad_2]
Fonte: