Uma nova operação de ransomware chamada Cactus está explorando vulnerabilidades em aparelhos VPN. Eles aproveitam essas vulnerabilidades para acesso inicial a redes de “grandes entidades comerciais”.

A operação de ransomware Cactus está ativa desde pelo menos março e está procurando grandes pagamentos de suas vítimas. Enquanto o novo ator de ameaça adotou as táticas usuais vistas em ataques de ransomware, ele adicionou seu próprio toque para evitar a detecção.

Ransomware Cactus atacando aparelhos VPN

Os pesquisadores da empresa de investigação corporativa e consultoria de risco Kroll acreditam que a Cactus obtém acesso inicial à rede da vítima explorando vulnerabilidades conhecidas nos dispositivos Fortinet VPN. A avaliação é baseada na observação de que, em todos os incidentes investigados, o hacker fez pivot dentro de um servidor VPN com uma conta de serviço VPN.

O que diferencia o Cactus de outras operações é o uso de criptografia para proteger o binário do ransomware. O ator usa um script em lote para obter o binário do criptografador usando 7-Zip.

O arquivo ZIP original é removido e o binário é implantado com um sinalizador específico que permite sua execução. Todo o processo é incomum e os pesquisadores acreditam que isso impede a detecção do criptografador do ransomware. Em um relatório técnico, os investigadores da Kroll explicam que existem três modos principais de execução, cada um selecionado com o uso de uma opção de linha de comando específica: configuração (-s) , configuração de leitura (-r) e criptografia (-i).

Os argumentos -s e -r permitem que os agentes de ameaça configurem persistência e armazenem dados em um arquivo C:\ProgramData\ntuser.dat que é lido posteriormente pelo criptografador ao executar com o argumento de linha de comando -r. Para que a criptografia do arquivo seja possível, no entanto, uma chave AES exclusiva, conhecida apenas pelos invasores, deve ser fornecida usando o argumento de linha de comando -i.

Essa chave é necessária para descriptografar o arquivo de configuração do ransomware e a chave RSA pública necessária para criptografar os arquivos. Ele está disponível como uma string HEX codificada no binário do criptografador.

A decodificação da string HEX fornece uma parte dos dados criptografados que são desbloqueados com a chave AES. Executar o binário com a chave correta para o parâmetro -i (criptografia) desbloqueia as informações e permite que o malware procure arquivos e inicie um processo de criptografia multi-thread.

Análise do ransomware

O especialista em ransomware Michael Gillespie também analisou como o Cactus criptografa os dados e disse ao BleepingComputer que o malware usa várias extensões para os arquivos visados, dependendo do estado de processamento.

Ao preparar um arquivo para criptografia, o Cactus altera sua extensão para .CTS0. Após a criptografia, a extensão se torna .CTS1. No entanto, Gillespie explicou que o Cactus também pode ter um “modo rápido”, que é semelhante a um passe de criptografia leve. A execução consecutiva do malware no modo rápido e normal resulta na criptografia do mesmo arquivo duas vezes e na adição de uma nova extensão após cada processo (por exemplo, .CTS1.CTS7).

Kroll observou que o número no final da extensão .CTS variou em vários incidentes atribuídos ao Ransomware Cactus.

O malware ameaça as vítimas com a publicação dos arquivos roubados, a menos que sejam pagos. Isso está explícito na nota de resgate:

Detalhes extensos sobre a operação do Cactus, as vítimas que visam e se os hackers mantêm sua palavra e fornecem um descriptografador confiável, se pago, não estão disponíveis no momento.

O que está claro é que as incursões dos hackers até agora provavelmente aproveitaram as vulnerabilidades no dispositivo Fortinet VPN e seguem a abordagem padrão de dupla extorsão, roubando dados antes de criptografá-los. Aplicar as atualizações de software mais recentes do fornecedor, monitorar a rede em busca de grandes tarefas de exfiltração de dados e responder rapidamente deve proteger dos estágios finais e mais prejudiciais de um ataque de ransomware.

O post Novo ransomware Cactus aproveita vulnerabilidades em aparelhos VPN apareceu primeiro em SempreUpdate.