O que é ransomware?

Há diferentes categorias de ransomware, incluindo "encryptors (criptografadores),", que se concentram principalmente no bloqueio de arquivos, e "screen lockers (bloqueadores de tela),", que impedem o acesso do usuário ao exibir uma tela de bloqueio. Em ambos os casos, as vítimas são solicitadas a pagar um resgate, geralmente em moedas digitais, como o Bitcoin, para recuperar o controle sobre seus dados ou sistemas. 

No entanto, é importante observar que o pagamento do resgate não garante o retorno seguro de seus arquivos. Em alguns casos, as vítimas podem não receber nenhuma chave de descriptografia ou podem encontrar malware adicional instalado em seus sistemas após o pagamento.

O risco associado ao ransomware cresceu com o surgimento do Ransomware as a Service (RaaS), um modelo que permite que mais indivíduos realizem esses tipos de ataques. Além disso, o ransomware moderno é capaz de explorar as vulnerabilidades do sistema para se espalhar por toda a organização, transformando um problema localizado em uma crise mais extensa que exige atenção imediata. 

O Ransomware as a Service (RaaS)  democratizou o acesso ao ransomware, possibilitando que indivíduos com conhecimento técnico limitado implementem ataques. Esse modelo funciona de forma semelhante aos serviços de software tradicionais, oferecendo às pessoas as ferramentas para lançar ataques cibernéticos sofisticados.

No modelo RaaS, dois grupos principais trabalham juntos: os criadores do ransomware e os afiliados. Os criadores criam o ransomware e os sistemas necessários para disseminá-lo. Os afiliados, recrutados on-line, são responsáveis pela implantação do ransomware. Alguns grupos de RaaS chegam a gastar grandes quantias de dinheiro no recrutamento de afiliados. Uma vez que fazem parte do sistema, esses afiliados podem executar suas próprias campanhas de ransomware usando a infraestrutura existente.

Do ponto de vista financeiro, a RaaS oferece várias formas de ganhar dinheiro. Os afiliados podem pagar uma taxa regular, um pagamento único ou compartilhar os lucros com os criadores. Esse processo geralmente é transparente e gerenciado por meio de painéis on-line, nos quais os afiliados podem monitorar métricas, como o número de infecções e a receita gerada. Os pagamentos geralmente são feitos por meio de criptomoedas, como o Bitcoin, o que proporciona uma camada de anonimato.

O que torna o RaaS ainda mais desafiador é sua presença na dark web, onde opera como qualquer outro mercado competitivo. Assim como os serviços de software legítimos, as plataformas de RaaS podem oferecer avaliações de clientes, suporte ininterrupto e ofertas de pacotes. Eles até usam técnicas de marketing que imitam as das empresas tradicionais. 

O mundo do ransomware está mudando rapidamente, tornando-se mais complicado com o surgimento de novos tipos. Compreender essas diferentes formas é vital para a implementação de uma defesa forte e flexível contra ataques cibernéticos. 

Além disso, há várias famílias de ransomware, como WannaCryptor, Stop/DJVU e Phobos, cada uma com suas características exclusivas. Estar ciente dessas variações ajuda a criar estratégias de defesas especializadas que sejam mais direcionadas e eficazes. 

Abaixo está uma lista dos tipos de ransomwares encontrados com mais frequência, categorizados com base em seu modus operandi.

· Crypto Ransomware ou Encryptors: um dos pilares do kit de ferramentas de ataque, o Crypto Ransomware é especializado em criptografar arquivos e dados, geralmente utilizando algoritmos de criptografia avançados. Essa tática torna os dados inacessíveis até que uma chave de descriptografia, geralmente obtida somente por meio de um pagamento em criptomoeda, seja aplicada. Nessa categoria, famílias de ransomware como o WannaCryptor ganharam notoriedade por seus impactos devastadores e de amplo alcance.

· Lockers:Com foco na interação do sistema e não na integridade dos dados, os Lockers incapacitam as principais funcionalidades de um computador, geralmente exibindo uma nota de resgate em uma tela bloqueada. Embora eles não criptografem os dados, a interrupção que causam é palpável. A família de ransomware Phobos, por exemplo, é conhecida por utilizar táticas de bloqueio juntamente com métodos de criptografia.

· Scareware: operando principalmente por meio de manipulação psicológica, o Scareware se apresenta como um software antivírus legítimo. Ele inunda os usuários com alertas incessantes sobre infecções por malware fabricadas e, muitas vezes, exige pagamento por "serviços de remoção". Algumas variantes avançadas também podem bloquear o computador, pegando emprestado técnicas do Lockers. Muitas vezes, o scareware é a porta de entrada para os infames golpistas de suporte técnico.

· Doxware ou Leakware: o doxware apresenta uma ameaça aumentada ao se apoderar de dados confidenciais e ameaçar sua divulgação pública. As apostas aqui são elevadas devido ao risco de reputação envolvido. Ocasionalmente, você pode encontrar um ransomware com tema policial, que se disfarça de aplicação da lei, afirmando que o usuário pode evitar ramificações legais pagando uma multa. 

· Ransomware móvel: como os smartphones e tablets são onipresentes na vida cotidiana, o Mobile Ransomware seguiu o mesmo caminho. Esses ataques têm como alvo a capacidade de uso do dispositivo ou os dados armazenados nele, obrigando as vítimas a pagar pela restauração.

· Extorsão de DDoS: embora não seja uma forma convencional de ransomware, a extorsão de DDoS emprega princípios semelhantes—coagir as vítimas a fazer pagamentos financeiros para evitar interrupções. Nesse caso, a ameaça consiste em sobrecarregar uma rede ou um site com um influxo de tráfego, desativando temporariamente suas funcionalidades.

Para descriptografar arquivos comprometidos por ransomware, você precisará de uma ferramenta de descriptografia apropriada. Identifique a variante específica de ransomware que está afetando seu sistema e consulte os especialistas em segurança cibernética para saber sobre a disponibilidade de ferramentas. 

Muitas delas, como as ferramentas de correção de ransomware oferecidas pelo Bitdefender Labs, estão disponíveis gratuitamente. Uma ação rápida e decisiva é fundamental para evitar a disseminação do ransomware, avaliar seu impacto e iniciar os procedimentos de recuperação.

Use o plano de ação a seguir como um roteiro para a recuperação após um ataque de ransomware e para estabelecer uma proteção subsequente de longo prazo. Ele descreve as principais etapas, desde os sinais iniciais de um ataque até a análise pós-incidente, para lhe ajudar a restaurar os sistemas afetados e fortalecer suas medidas de segurança cibernética.

Isolamento e contenção

O primeiro curso de ação deve ser limitar a capacidade de proliferação do malware em sua infraestrutura.

· Isole os dispositivos afetados: desconecte imediatamente o hardware comprometido da rede, da internet e de outros dispositivos conectados.

· Impeça a disseminação: interrompa todas as formas de conectividade sem fio (Wi-Fi, Bluetooth) e isole os dispositivos que apresentarem comportamento irregular para evitar a interrupção generalizada em toda a empresa.

Avaliação e identificação

Em seguida, analise minuciosamente o impacto e a origem do ataque para dar informação às etapas subsequentes.

· Avalie os danos: examine os sistemas em busca de arquivos criptografados, nomes de arquivos anormais e colete relatórios de usuários sobre problemas com acessibilidade de arquivos. Desenvolva uma lista abrangente de sistemas comprometidos.

· Localize o paciente zero: examine as notificações de antivírus, as plataformas de Endpoint Detection and Response (EDR) e as pistas geradas por humanos, como e-mails suspeitos, para identificar a origem da infecção.

· Identifique a variante do ransomware: utilize recursos de identificação de ransomware, como Bitdefender Ransomware Recognition Tool, ou estude os detalhes da nota de resgate para especificar o tipo do ransomware em questão. 

Obrigações legais

Após as respostas técnicas imediatas, é fundamental abordar as responsabilidades legais.

· Notificar as autoridades: relate o incidente aos órgãos policiais apropriados. Essa ação pode não apenas ajudar na recuperação de dados, mas às vezes é essencial para a conformidade com leis como a CIRCIA (EUA) ou o GDPR (UE).

Recuperação e restauração

Com as bases estabelecidas, o foco passa a ser a restauração dos sistemas comprometidos e a garantia de que o malware seja totalmente erradicado.

· Avalie seus backups: se houver backups atualizados, inicie a restauração do sistema, garantindo que as ferramentas antivírus e antimalware eliminem todos os vestígios do ransomware antes de restaurar o sistema.

· Pesquise opções de descriptografia: nos casos em que os backups não são uma opção, considere ferramentas de descriptografia gratuitas, como as mencionadas anteriormente, da Bitdefender. Certifique-se de que todos os rastros de malware sejam erradicados antes de tentar a descriptografia.

Sanitização do sistema e atualizações de segurança

Com as ameaças imediatas neutralizadas, a ênfase agora deve ser na identificação dos pontos fracos e no aprimoramento da arquitetura de segurança cibernética.

· Erradique a ameaça: realize uma análise da causa-raiz, normalmente orientada por um especialista em segurança cibernética de confiança, para identificar todas as vulnerabilidades do sistema e remover completamente a ameaça da sua rede.

· Priorize a restauração: concentre-se primeiro na restauração dos sistemas mais essenciais, considerando seu efeito sobre a produtividade e os fluxos de receita.

Opções finais e planejamento futuro

À medida que você avança em direção à normalização, fique atento às estratégias de longo prazo para reduzir a probabilidade de ataques futuros.

· Redefina ou reconstrua: se não for possível obter backups ou chaves de descriptografia, a redefinição dos sistemas para as configurações de fábrica ou uma reconstrução completa pode ser inevitável.

· Proteja-se para o futuro: lembre-se de que as vítimas anteriores de ransomware correm um risco maior de ataques subsequentes. Portanto, uma auditoria pós-incidente deve se concentrar em possíveis atualizações de segurança para reduzir riscos futuros.

Para concluir, uma abordagem coordenada e bem informada da recuperação pode diminuir os danos e acelerar seu retorno às operações normais.