Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
Um novo relatório da equipe de Resposta a Incidentes da Microsoft constatou que houve um aumento repentino nos ataques do ransomware BlackByte 2.0. Esses ataques se caracterizam pela rapidez e pelo poder destrutivo, sendo que o autor da ameaça é capaz de concluir todo o processo de ataque em apenas cinco dias.
O relatório constatou que os invasores do BlackByte utilizam diversos métodos para atingir seus objetivos, incluindo a exploração de servidores Microsoft Exchange sem patches, a implantação de web shells para acesso remoto, o uso de ferramentas para persistência e reconhecimento e a implantação de beacons do Cobalt Strike para comando e controle.
Além de criptografar dados, os invasores do BlackByte também instalam backdoors que lhes garantem acesso contínuo aos sistemas comprometidos. Isso lhes permite roubar dados confidenciais, instalar malware adicional ou até mesmo lançar outros ataques usando o ransomware BlackByte 2.0.
O agente malicioso obteve acesso explorando vulnerabilidades em servidores Microsoft Exchange sem patch, especialmente as CVE-2021-34473, CVE-2021-34523 e CVE-2021-31207. Ele começou a operar a partir do endereço IP 185.225.73.244 e desenvolveu persistência gerando chaves de execução no Registro que executavam uma carga útil no momento do login do usuário, após obter acesso no nível do sistema, enumerando informações do usuário, criando web shells e estabelecendo controle remoto sobre os sistemas visados.
O agente malicioso utilizou, então, um arquivo backdoor chamado api-msvc.dll para coletar dados do sistema e enviá-los a um servidor de comando e controle (C2) localizado em hxxps://myvisit.alteksecurity.org/t. Outro arquivo, o api-system.png, apresentou comportamento semelhante e utilizou chaves de execução para garantir a persistência. A persistência foi alcançada por meio do Cobalt Strike Beacon (sys.exe), que foi baixado de temp[.]sh e interagiu com o canal C2 no endereço 109.206.243.59:443.
Além disso, o agente malicioso utilizou o programa de acesso remoto AnyDesk, que foi instalado como um serviço para garantir a persistência e facilitar a migração de rede. O registro do AnyDesk revela conexões VPN via TOR e MULLVAD.
O agente malicioso utilizou a ferramenta de descoberta de rede NetScan (netscan.exe e netapp.exe) e a ferramenta de reconhecimento do Active Directory AdFind (f157090fd3ccd4220298c06ce8734361b724d80459592b10ac632acc624f455e) para enumerar a rede. A preparação e a exfiltração de dados foram realizadas com o uso do explorer.exe (Trojan:Win64/WinGoObfusc.LK!MT), um arquivo que desativou o Microsoft Defender Antivirus.
Esse arquivo ExByte é uma ferramenta frequentemente utilizada em ataques do ransomware BlackByte para coletar e extrair arquivos. Suspeita-se que o Mimikatz seja explorado para o roubo de credenciais, sendo que as credenciais roubadas de administradores de domínio são utilizadas para movimentação lateral por meio do Protocolo de Área de Trabalho Remota (RDP) e do acesso remoto via PowerShell.
Além disso, o ransomware BlackByte 2.0 é capaz de contornar programas antivírus e manipular o Firewall do Windows, o Registro e os processos em execução. Ele também pode criptografar dados em compartilhamentos de rede e utilizar outras formas de ocultar seus rastros, dificultando a análise.
As fontes utilizadas neste artigo incluem uma matéria publicada no TheHackerNews.
