Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
O FBI e a Agência de Segurança Cibernética e de Infraestrutura (CISA) emitiram um alerta sobre um novo grupo de ransomware conhecido como Royal ransomware. O ransomware é um tipo de software malicioso que criptografa os arquivos do computador da vítima e exige pagamento para desbloqueá-los. O Royal ransomware funciona de maneira semelhante.
O alerta vem na sequência de um aviso anterior do Departamento de Saúde e Serviços Humanos, que afirmou que os ataques de ransomware conduzidos por pessoas estão visando fortemente o setor de saúde, após um aumento de três meses na taxa de ataques e em exigências de resgate de até US$ 2 milhões.
Para infectar o computador com ransomware, os invasores enviam e-mails de spear-phishing ou exploram vulnerabilidades no sistema da vítima. Após infectar o sistema, o ransomware criptografa os arquivos, tornando-os inacessíveis.
Os invasores, então, exigem pagamento em troca de uma chave de descriptografia que lhes permitirá recuperar o acesso. As exigências mais recentes em Bitcoin variaram entre cerca de US$ 1 milhão e US$ 11 milhões. No entanto, os autores do ataque “Royal” não incluem os valores dos resgates na nota de resgate inicial. Em vez disso, as vítimas são obrigadas a interagir com os autores por meio de uma URL .onion.
O Royal tem exigido resgates em Bitcoin que variam de US$ 1 milhão a US$ 11 milhões. No entanto, o alerta informou que o grupo não inclui valores de resgate nem instruções de pagamento em suas notas de resgate iniciais. Em vez disso, a nota de resgate orienta as vítimas a entrarem em contato diretamente com um membro do Royal por meio de um URL seguro, acessível através do navegador criptografado Tor.
De acordo com o FBI e a CISA, o Royal está intensificando suas operações e ampliando seu alcance para além dos prestadores de serviços de saúde, sendo que os setores de manufatura, educação e comunicações são suspeitos de serem alvos adicionais. Desde setembro do ano passado, os cibercriminosos vêm utilizando uma variante do ransomware Royal para se infiltrar em organizações em todo o território dos Estados Unidos, muitas das quais são prestadoras de serviços de saúde.
As táticas do Royal são semelhantes às de outros tipos de ransomware. Antes de implantar o ransomware, os autores desativam os programas antivírus e extraem grandes quantidades de dados da rede. Os dados são roubados “por meio do uso indevido de ferramentas legítimas de testes de penetração, como o Cobalt Strike, bem como de ferramentas de malware e seus derivados, como o Ursnif/Gozi”.
Os membros do grupo Royal desativam o software antivírus após obterem acesso à rede de uma organização. De acordo com o FBI e a CISA, os cibercriminosos então “exfiltram grandes quantidades de dados” antes de implantar ransomware e criptografar os sistemas de suas vítimas. A maioria dos ataques utiliza e-mails de phishing com documentos PDF maliciosos como principal método de acesso. O comprometimento do Protocolo de Área de Trabalho Remota (RDP) é o segundo vetor de ataque mais comum, seguido pela exploração de aplicativos acessíveis ao público e pelo uso de intermediários para obter acesso inicial e direcionar o tráfego a fim de coletar credenciais de redes privadas virtuais (VPN).
Uma vez obtido o acesso, os membros do Royal utilizam software Windows legítimo, mas adaptado para outros fins, a fim de reforçar sua presença na rede. Os pesquisadores também observaram que o grupo utiliza projetos de código aberto, como o Chisel, uma ferramenta de tunelamento, para auxiliar nas atividades de invasão.
As fontes utilizadas neste artigo incluem uma matéria publicada na SCMagazine.
