Era questão de tempo, já dissemos várias vezes. WannaCry foi simplesmente o começo. Bastava um elemento malicioso com habilidade suficiente e um orçamento superior para reutilizar os exploits em uma campanha muito mais agressiva. Essa campanha já está entre nós. Múltiplas fontes indicam que o ataque começou na Ucrânia e, apesar de sua ênfase na infecção de redes locais, se espalhou rapidamente. Empresas farmacêuticas, companhias de transporte, escritórios de advocacia, bancos, produtores de alimentos e até os sistemas de monitoramento em Chernóbil foram atingidos.
A campanha global
Os meios especializados ainda estão processando as informações e calculamos que haverá várias atualizações nas próximas horas, mas já temos uma base robusta para saber o que aconteceu. Uma nova campanha de ransomware em escala global interrompeu as operações em mais de 80 empresas. Alguns dos nomes que circularam são os da farmacêutica Merck, Mondelez International (Cadbury, Toblerone, Milka, Oreo, etc.), o gigante do transporte marítimo Maersk, e vários operadores na Rússia e na Ucrânia, incluindo a petroleira Rosneft, a siderúrgica Evraz, a distribuidora estatal de energia Ukrenergo, e o aeroporto internacional de Borýspil. Ainda não foi completamente confirmado, mas as análises forenses preliminares sugerem que se trata de uma variante do ransomware Petya. Assim como o WannaCry, este build do Petya (também identificado como PetyaWrap, GoldenEye e Nyetya) utiliza o exploit EternalBlue; no entanto, na Kaspersky dizem que ele aplica um segundo exploit vazado da NSA, o EternalRomance.
Propagação e o resgate
Ainda não foi possível identificar o método principal de propagação, mas as evidências disponíveis apontam para um programa de contabilidade ucraniano chamado MeDoc, cujo sistema de atualizações foi hackeado. A Kaspersky e o Grupo Talos da Cisco não chegaram a esse ponto, embora na entrada oficial do pesquisador MalwareTech (o mesmo que descobriu o interruptor do WannaCry) possamos encontrar várias referências. Basicamente, os responsáveis querem um pagamento de 300 dólares em Bitcoins e, uma vez realizado, as vítimas precisam enviar a «chave de instalação» para um endereço de e-mail. Esse e-mail usa o domínio de um provedor alemão, o Posteo, que já confirmou o bloqueio. Isso significa que os usuários afetados não têm como receber a chave de descriptografia e restaurar seus arquivos; portanto, devemos repetir a mesma recomendação de sempre: Não pagar.
As diferenças em relação ao WannaCry
Se há razões de sobra para comparar esta campanha ao WannaCry, as diferenças técnicas são consideráveis. O WannaCry concentrou seu poder em um pequeno número de terminais e rapidamente saiu do controle, enquanto esta variante do Petya atacou uma grande quantidade de computadores, para depois proceder à infecção de redes internas (basta uma terminal vulnerável). Ela também tem a capacidade de roubar credenciais locais com a ajuda do Mimikatz e aprofundar sua presença usando o PSExec, uma ferramenta oficial da Microsoft. Quando a infecção termina, o ransomware pode esperar entre 10 e 60 minutos para reiniciar o equipamento. A maioria das fontes concorda que esta campanha é muito mais refinada. Não há nenhum interruptor mágico que a desative, e ela parece mais focada em causar dano do que em arrecadar (só obteve 6.000 dólares). Já foram vistas imagens do ransomware em caixas eletrônicos, mas o relato mais perturbador foi feito pela CNN, ao informar que o sistema de monitoramento automático de radiação na usina nuclear de Chernóbil foi atingido. As autoridades continuarão os monitoramentos manualmente até novo aviso.
Como se proteger
Por enquanto, a única maneira de evitar o ransomware é interromper o processo de criptografia. Se o computador reiniciar espontaneamente e apresentar uma mensagem indicando que o sistema de arquivos está em reparação (muito semelhante ao clássico CHKDSK), devemos desligá-lo por completo. Continuaremos informando.
MalwareTech
