Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
Pesquisadores de segurança cibernética da SentinelLabs descobriram uma nova variante do ransomware Icefire, voltada especificamente para sistemas Linux corporativos.
A SentinelLabs foi a primeira a detectar o malware, que criptografa arquivos no sistema infectado e exige um resgate para liberá-los. Ele está identificado como CVE-2022-47986 no banco de dados Common Vulnerabilities and Exposures (CVE). Um invasor poderia explorar essa falha para executar código arbitrário em um sistema vulnerável.
O ransomware Icefire é altamente sofisticado, empregando uma variedade de técnicas para evitar a detecção por softwares antivírus. Acredita-se que o malware seja disseminado por meio de e-mails de phishing e downloads automáticos. O aplicativo vulnerável é amplamente utilizado e apresenta essa vulnerabilidade devido à validação inadequada de entradas. A exploração bem-sucedida dessa vulnerabilidade pode resultar no comprometimento total do sistema afetado.
O malware IceFire detectado pela SentinelLabs utiliza uma extensão chamada iFire, o que está de acordo com um relatório de fevereiro da MalwareHunterTeam, segundo o qual o IceFire está mudando seu foco para sistemas corporativos Linux.
A versão do IceFire para Linux foi detectada em máquinas que rodavam o CentOS, uma distribuição Linux de código aberto, e que utilizavam uma versão vulnerável do software de servidor de arquivos IBM Aspera Faspex. Outra tática inédita observada na variante do IceFire para Linux foi a exploração de uma vulnerabilidade, em vez da entrega tradicional por meio de mensagens de phishing ou do uso de certas estruturas de terceiros para pós-exploração, como Empire, Metasploit e Cobalt Strike.
De acordo com o relatório da SentinelLabs, as táticas dos invasores são consistentes com as das famílias de ransomware do tipo “big-game hunting” (BGH), que envolvem dupla extorsão, ataques contra grandes empresas, o uso de diversos mecanismos de persistência e táticas de evasão, como a exclusão de arquivos de log. Quando os invasores roubam dados e, ao mesmo tempo, os criptografam, geralmente exigem um resgate que é o dobro do valor padrão.
A versão do IceFire para Linux (SHA-1: b676c38d5c309b64ab98c2cd82044891134a9973) é um binário ELF de 64 bits com 2,18 MB, compilado com o gcc para a arquitetura AMD64. A amostra foi testada em distribuições do Ubuntu e do Debian baseadas em Intel; o IceFire foi executado com sucesso em ambos os sistemas de teste. Nas invasões observadas, a versão para Linux foi implantada contra hosts CentOS que executavam uma versão vulnerável do software de servidor de arquivos IBM Aspera Faspex. O sistema baixou duas cargas úteis usando o wget e as salvou.
Ao ser executado, os arquivos são criptografados e renomeados com a extensão “.ifire” acrescentada ao nome do arquivo. Em seguida, o IceFire se exclui, removendo o arquivo binário. A extensão “.iFire” é então acrescentada ao nome do arquivo. O IceFire ignorou os arquivos com as extensões “.sh” e “.cfg”.
O ransomware IceFire no Linux: ele evita criptografar determinados caminhos, de modo que partes críticas do sistema não sejam criptografadas e permaneçam operacionais. Em uma infecção observada, o diretório /srv foi criptografado, o que indica que essas exclusões podem ser seletivamente ignoradas.
As fontes utilizadas neste artigo incluem uma matéria publicada no CSOOnline.
