Todo o ransomware vem de grupos cibercriminosos russos?

Na Datarecovery.com, trabalhamos frequentemente com empresas, organizações de saúde e outras empresas que foram vítimas de ransomware. Muitos desses casos são recuperáveis ​​- enquanto muitas das variantes de ransomware mais conhecidas são bem projetadas, algumas têm vulnerabilidades de design que podem ser exploradas para restaurar os dados à sua condição original sem pagar resgate.

No entanto, a recente onda de variantes de ransomware que capturam manchetes é excepcionalmente robusta. Em muitos casos, as vítimas não têm alternativa a não ser pagar o resgate. A quebra da criptografia pode levar meses – ou centenas de anos, em alguns casos – e, por definição, os sistemas de missão crítica não podem ficar offline por longos períodos de tempo.

Os jornais costumam citar as origens russas dos principais ataques de ransomware, o que levou a um equívoco de que todo ransomware vem de grupos cibercriminosos baseados na Rússia. Este não é o caso; O ransomware pode (e vem) de todos os lugares, mas os invasores mais bem-sucedidos geralmente vêm de países de língua russa.

Evidências de origens de língua russa em ataques cibernéticos recentes

Em fevereiro de 2017, a empresa de segurança Kaspersky estimou que 75% do ransomware vem de fontes de língua russa. No entanto, isso não significa necessariamente que todos os invasores falam russo: os maus atores que criam o ransomware geralmente são separados das pessoas que realizam o ataque. Esse segundo grupo atua como "afiliados", distribuindo ransomware e coletando o resgate. Não há dados concretos suficientes para concluir que os programadores reais são mais propensos a falar russo do que, digamos, chinês.

Com isso dito, muitos dos ataques de ransomware mais significativos foram atribuídos a falantes de russo (observaremos aqui que estamos usando a frase "falante de russo" em vez de "Rússia" porque determinar o idioma é muito mais fácil do que confirmar a nacionalidade – e não há evidências atuais que sugiram que o governo de qualquer nação esteja ativamente envolvido na distribuição de ransomware, com a notável exceção dos grupos de hackers militares da Coreia do Norte ).

Alguns exemplos interessantes de ataques de ransomware com origens de língua russa:

• Em 7 de julho de 2021, um relatório do Trustwave SpiderLabs identificou um ataque de ransomware de hackers de língua russa REvil que foi escrito para evitar ativamente sistemas que possuem configurações de idioma padrão da antiga região da URSS.
• DarkSide, o grupo de língua russa que atacou o Colonial Pipeline em maio, usou ransomware escrito para evitar computadores na Rússia e nos antigos países satélites soviéticos.
• Em 14 de maio de 2021, o serviço de saúde da Irlanda sofreu um ataque de ransomware significativo atribuído ao Wizard Spider, um grupo cibercriminoso que se acredita estar sediado em São Petersburgo, na Rússia.

A maioria dos ataques cibernéticos não é notícia – cada um dos ataques de ransomware listados acima se enquadra na categoria “caçador de grandes jogos". Esses ataques podem ser notavelmente sofisticados. Em alguns casos, o malware fica em um servidor por meses para impedir que o alvo se recupere de backups utilizáveis. Ataques menores de ransomware usam mais um método de força bruta, visando centenas de vítimas em potencial. Esses tipos de ataques são mais propensos a serem recuperados.

Prevenção de infecção por ransomware (e recuperação de ransomware)

Não podemos especular por que muitos ataques importantes vêm de países de língua russa, mas alguns meios de comunicação acreditam que a aplicação frouxa das leis de crimes cibernéticos da Rússia tornou a prática quase legal. Também é possível que alguns grupos de malware imitem grupos russos conhecidos para ocultar suas identidades de forma mais eficaz.

Independentemente da origem, um ataque de ransomware pode prejudicar uma empresa. Embora toda empresa deva adotar um programa robusto para prevenir infecções, aqui estão algumas dicas rápidas para limitar vulnerabilidades:

• Limite o acesso periférico a todos os sistemas de backup. Isso inclui mídia óptica (CDs/DVDs), discos rígidos externos e unidades flash. Considere instalar travas USB para evitar acesso periférico não autorizado.
• Mantenha um backup air-gapped de dados importantes. Todos os dados de missão crítica devem ser duplicados e armazenados fora da rede. Sempre que possível, mantenha backups de missão crítica fora do local.
• Educar os funcionários. Muitos ataques de ransomware ocorrem por e-mail. Estabeleça protocolos fortes para impedir que a equipe abra emails (e anexos) comprometidos.
• Isole os sistemas sempre que possível. Limitar o acesso à infraestrutura de TI importante é uma das maneiras mais eficazes de evitar um ataque bem-sucedido.
• Verifique os backups regularmente. Tenha um plano de recuperação de desastres — execute cenários de simulação e determine se suas práticas atuais são robustas o suficiente para uma infecção real.

Por fim, se ocorrer um ataque cibernético, não entre em pânico. Desligue todos os sistemas afetados imediatamente. Não tente restaurar a partir de backups se houver a possibilidade de os backups serem infectados no processo.

O curso de ação mais seguro é entrar em contato com uma empresa de recuperação de ransomware experiente. Para uma consulta gratuita, ligue para Datarecovery.com em 1-800-237-4200 e peça para falar com um especialista em malware.