Alerta da Microsoft: Novo ransomware INC tem como alvo o setor de saúde dos EUA

De acordo com um recente alerta da Microsoft, foi observado um agente malicioso com motivos financeiros utilizando uma nova variante do ransomware INC para atacar o setor de saúde nos Estados Unidos (EUA). Neste artigo, vamos nos aprofundar nos detalhes e determinar quem é esse agente malicioso e como esses ataques são realizados. Vamos começar!  

Alerta da Microsoft Sobre o Vanilla Tempest 

Considerando as informações contidas no alerta da Microsoft, as equipes de inteligência contra ameaças estão monitorando as atividades relacionadas a esse agente de ameaças sob o nome de Vanilla Tempest, anteriormente conhecido como DEV-0832 e Vice Society. 

Desde 2021, o agente malicioso vem se destacando por atacar diversos setores, incluindo educação, saúde, TI e indústria. Entre as diversas variantes de ransomware utilizadas nesses ataques estão:  

• Rhysida
• Zeppelin. 
• BlackCat. 
• Quantum Locker. 

A CheckPoint, uma empresa de tecnologias de software, também associou o Vanilla Tempest a um grupo de ransomware chamado Rhysida. Foi revelado que os ataques realizados por esse grupo também tinham como alvo o setor de saúde, com o objetivo de vender dados de pacientes obtidos do Lurie Children’s Hospital, em Chicago.

Consideradas as atividades do agente malicioso conhecido como Vice Society, acredita-se que esse grupo criminoso online seja conhecido por utilizar lockers já existentes em seus ataques, em vez de desenvolver uma versão personalizada. 

O ransomware INC

Aqueles que desejam garantir a recuperação e a proteção contra essas ameaças online devem saber que o ransomware INC mencionado no Alerta da Microsoft é um ransomware como serviço (RaaS). Operações maliciosas na internet relacionadas ao seu uso têm tido como alvo tanto organizações públicas quanto privadas desde julho de 2023. Esses alvos incluem:  

• Yamaha Motor Filipinas. 
• Serviço Nacional de Saúde da Escócia (NHS).
• A divisão norte-americana da Xerox Business Solutions (XBS).

Vale a pena mencionar que o código-fonte das versões do criptografador do INC Ransom para Windows e Linux/ESXi foi colocado à venda em maio de 2024 por US$ 300.000. O autor da ameaça responsável pela venda foi “salfetka”, e o anúncio foi feito nos fóruns de hackers Exploit e XSS. 

Cadeia de Ataques da Tempestade de Baunilha

De acordo com a alerta da Microsoft, os recentes ataques cibernéticos ao setor de saúde dos EUA representam a primeira vez que esse agente de ameaças utilizou a ferramenta INC Ransom. O alerta de inteligência de ameaças da Microsoft, em uma série de publicações no X, afirmado que: 

“O Vanilla Tempest recebe dados repassados por infecções do GootLoader, causadas pelo agente malicioso Storm-0494, antes de implantar ferramentas como o backdoor Supper, a ferramenta legítima de monitoramento e gerenciamento remoto (RMM) AnyDesk e a ferramenta de sincronização de dados MEGA.”

Assim que as ferramentas são implantadas, os invasores começam a se mover lateralmente pela rede comprometida, utilizando protocolos de área de trabalho remota. Em seguida, os agentes maliciosos passam a utilizar o Host do Provedor do Windows Management Instrumentation (WMI) para a implantação do ataque de ransomware. 

Notícias da mídia relativos à alerta da Microsoft afirmam que esses grupos de agentes maliciosos também utilizam o Azure Storage Explorer e o AzCopy para extrair dados confidenciais enquanto tentam evitar a detecção. 

Conclusão 

A ascensão do Vanilla Tempest e o ataque com o ransomware INC contra o setor de saúde dos EUA destacam as ameaças cibernéticas contínuas que afetam setores críticos. As organizações devem permanecer vigilantes e adotar medidas robustas de segurança cibernéticae monitorar de perto as táticas em constante evolução utilizadas por esses agentes de ameaças para mitigar possíveis danos.

As fontes utilizadas neste artigo incluem matérias publicadas no The Hacker News e Tech Business News.