Em menos de dez dias, a Avast publicou três novas ferramentas contra ransomware, a categoria de malware que criptografa arquivos e exige pagamento para fornecer a chave que reverte o processo. A mais recente é para o XData, enquanto as outras duas são para as variantes AES_NI e para o BTCWare. As três já foram colocadas à disposição dos usuários na área de ferramentas do site da Avast, totalizando agora 19 soluções para ataques de ransomware dos seguintes tipos:
AES_NI
Alcatraz Locker
Apocalypse
BadBlock
Bart
BTCWare
Crypt888
CryptoMix (Offline)
CrySiS
FindZip
Globe
HiddenTear
Jigsaw
Legion
NoobCrypt
Stampado
SZFLocker
TeslaCrypt
XData
A equipe de pesquisas da Avast tem trabalhado rápido para desenvolver soluções. A do XData, por exemplo, foi publicada apenas duas semanas depois que esse malware foi descoberto na metade de Maio. Ele tem alguma semelhança com o Wannacry, já que ambos se utilizam do exploit EternalBlue. O exploit se aproveita da vulnerabilidade MS17-010 no recurso Windows File and Printer Sharing (implementação do protocolo SMB).
Embora o XData não tenha se espalhado tanto, a Avast registrou tentativas de ataque sobre computadores de seus usuários principalmente na Ucrânia (93%) e Canadá (3%). Segundo Jakub Kroustek, líder da equipe do Threat Lab da Avast, um exame do código revelou que o XData é quase igual ao AES_NI, por uma razão muito simples: há fortes suspeitas de que os operadores do XData roubaram o código dos autores do AES_NI. Quando o XData infecta um computador, ele altera a extensão dos arquivos para “.~xdata~” e grava um arquivo de texto chamado “HOW_CAN_I_DECRYPT_MY_FILES.txt”.
O BTCWare, explica Jakub Kroustek, foi descoberto em março deste ano e já tem cinco variantes, cada uma colocando uma diferente extensão nos arquivos criptografados:
foobar.docx.[sql 772@aol.com].theva
foobar.docx.[no.xop@protonmail.ch].cryptobyte
foobar.bmp.[no.btc@protonmail.ch].cryptowin
foobar.bmp.[no.btcu@protonmail.ch].btcware
foobar.docx.onyon
Ao final da operação de criptografia, ele grava em cada pasta um arquivo de informações chamado #_README_#.inf ou !#_DECRYPT_#!.inf.
O AES_NI foi descoberto pelos pesquisadores de segurança em dezembro passado, e desde então foram criadas variantes dele, de modo que os arquivos criptografados podem ter três diferentes extensões, explica o especialista da Avast:
example.docx.aes_ni
example.docx.aes256
example.docx.aes_ni_0day
A estratégia de criptografia é complexa e ao final da operação o malware grava em cada pasta um arquivo chamado “!!! READ THIS – IMPORTANT !!!.txt”com as instruções para pagamento.
As recomendações de Jakub Kroustek para os usuários estarem protegidos são as seguintes:
– Instale antivírus em todos os dispositivos possíveis, inclusive no seu smartphone. O antivírus bloqueará o ransomware, caso você o encontre.
– Atualize todo o seu software sempre que uma nova versão estiver disponível. Isso pode evitar que o ransomware explore a vulnerabilidade de um software para infectar o seu dispositivo.
– Seja cauteloso: fique longe de sites obscuros, tenha cuidado com o que baixar e não abra links ou anexos enviados por um remetente suspeito ou desconhecido. Muitas pessoas não pensam que um simples documento do Word ou do Excel pode conter algo malicioso, e é por isso que os cibercriminosos gostam de usá-los para seus ataques. Os anexos maliciosos, enviados sob a forma de um documento do Word ou Excel, muitas vezes solicitam que as macros sejam habilitadas, o que permite àquele documento fazer o download de malware, incluindo o ransomware.
– Faça periodicamente um backup dos seus dados: isso ajudará você a recuperá-los caso você se torne vítima de ransomware. Fazer o backup regularmente, com o dispositivo offline, em um disco rígido externo e não conectado à internet reduzirá consideravelmente o risco de alguém manipular seus dados pela internet.
