Segurança da Informação

Ξ Deixe um comentário

Trend Micro alerta sobre nova variante do KillDisk: malware atinge novamente organizações financeiras latino-americanas

publicado por Trend Micro

Em janeiro deste ano, a Trend Micro – empresa especializada na defesa de ameaças digitais e segurança na era da nuvem –já havia detectado uma variante do malware KillDisk atingindo diversas instituições financeiras na América Latina.

Um desses ataques estava relacionado a um roubo frustrado no sistema da organização conectado à rede SWIFT (Sociedade de Telecomunicações Financeiras Interbancárias Mundiais).

No último mês de maio, a Trend Micro revelou um wiper (malware que inutiliza o disco rígido) na mesma região. Uma das organizações afetadas era um banco cujos sistemas ficaram inoperantes por vários dias, interrompendo as operações por quase uma semana e limitando os serviços aos clientes. A análise da Trend Micro indica que o ataque foi utilizado somente como uma distração – o objetivo final era acessar os sistemas conectados à rede SWIFT local do banco.

Tudo começou um problema nas máquinas afetadas relacionado com o setor de inicialização (MBR) do disco rígidoCom base na mensagem de erro exibida após os testes feitos, a Trend Micro foi capaz de determinar que esta era outra – possivelmente nova – variante do KillDisk. Este tipo de mensagem é comum em sistemas especificamente afetados por ameaças wiper do tipo MBR e não em outros tipos de malware, tais como ransomware, que algumas pessoas inicialmente acreditavam ser o motivo da paralização.

Os produtos da Trend Micro detectam esta ameaça como TROJ_KILLMBR.EE e TROJ_KILLDISK.IUE.

A natureza isolada deste malware dificulta determinar se o ataque foi motivado por uma campanha cibercriminosa oportunista ou parte de um ataque coordenado, como os ataques observados em janeiro.

Análise inicial

A Trend Micro conseguiu obter uma amostra que talvez possa ser o malware envolvido nos ataques de maio de 2018. A amostra foi executada e ela quebrou o setor de inicialização do disco rígido, conforme esperado (Figura 1). Uma análise inicial do arquivo revelou que o malware foi criado usando um sistema NSIS (Nullsoft Scriptable Install System), uma aplicação de código aberto utilizada para criar programas de instalação. O criador do malware nomeou-o propositalmente como “MBR Killer”.

Apesar de a amostra ser protegida pelo VMProtect (um protetor de executáveis utilizado para defesa contra engenharia reversa), ainda assim foi verificada uma rotina que apaga o primeiro setor do disco rígido da máquina, como mostrado na figura abaixo.

A Trend Micro não encontrou nenhuma outra rotina nova ou importante na amostra analisada. Não há evidência de infraestrutura ou comunicação com C&C (comando & controle), ou rotinas típicas de ransomware codificadas na amostra nem indicações de comportamento relacionado à rede.

O malware nomeado “MBR Killer” (em amarelo) e abaixo um snippet mostrando a rotina de limpeza do disco

Como o malware desempenha sua rotina wiper do MBR Figura - O malware nomeado “MBR Killer” (em amarelo) e abaixo um snippet mostrando a rotina de limpeza do disco
Como o malware apaga o disco da máquina afetada

Figura - Como o malware apaga o disco da máquina afetada

O malware foi projetado para apagar o primeiro setor de todos os discos rígidos físicos que encontra no sistema infectado. A seguir, há um resumo de como o malware desempenha sua rotina wiper do MBR:

  1. Ele utiliza a função da API CreateFileA to \\.\PHYSICALDRIVE0 para acessar o disco rígido com permissão de escrita.
  2. Então, sobrescreve o primeiro setor do disco (512 bytes) com bytes zerados “0x00”. O primeiro setor é justamente o MBR do disco.
  3. Ele tentará executar as rotinas acima (etapas 1-2) em \\.\PHYSICALDRIVE1\\.\PHYSICALDRIVE2\\.\PHYSICALDRIVE3, e assim por diante, contanto que haja um disco rígido disponível.
  4. Posteriormente, ele forçará o desligamento da máquina através da função da API ExitWindows.

Mitigação e melhores práticas:

Os recursos destrutivos desse malware, que podem deixar a máquina afetada inoperante, enfatizam a importância da defesa completa: para cobrir cada camada da infra-estrutura de TI da organização, de gateways e terminais para redes e servidores.

Aqui estão algumas das melhores práticas que as organizações podem adotar para se defender contra esse tipo de ameaça:

  •  Identifique e resolva as lacunas de segurança: Atualize regularmente redes, sistemas e programas / aplicativos para remover vulnerabilidades exploráveis. Crie políticas rígidas de gerenciamento de patches e considere o patch virtual, especialmente para sistemas legados. Faça o backup regularmente dos dados e proteja sua integridade;
  • Proteja a infraestrutura de missão crítica: Proteja a infraestrutura usada para armazenar e gerenciar dados pessoais e corporativos. Para instituições financeiras, a SWIFT possui um Programa de Segurança do Cliente que fornece controles obrigatórios e de consultoria para sua infraestrutura SWIFT local. Alguns deles incluem patch virtual, varredura de vulnerabilidades, controle de aplicativos e monitoramento de integridade de aplicativos relacionados ao SWIFT;
  •  Aplique o princípio do menor privilégio: Restrinja o acesso a dados de missão crítica. A segmentação de rede limita o acesso do usuário ou programa à rede; A categorização organiza os dados por importância para minimizar a exposição adicional a ameaças ou violações. Restringir o acesso e o uso de ferramentas reservadas aos administradores do sistema (por exemplo, PowerShell, ferramentas de linha de comando) para impedir que eles sejam violados. Desabilitar os componentes desatualizados e desnecessários do sistema ou aplicativo;
  • Monitore proativamente as instalações on-line: Implemente mecanismos de segurança adicionais para impedir ainda mais os invasores. Firewalls e sistemas de detecção e prevenção de invasões ajudam contra ataques baseados em rede, enquanto o controle de aplicativos e o monitoramento de comportamento impedem a execução de arquivos suspeitos e indesejados ou rotinas maliciosas. A categorização de URL’s também ajuda a impedir o acesso a sites de hospedagem de malware;
  • Promover uma cultura de segurança cibernética: Muitas ameaças dependem da engenharia social para ter sucesso. A conscientização dos funcionários sobre os sinais reveladores de e-mails de spam e phishing, por exemplo, ajuda significativamente a impedir ameaças baseadas em e-mail;
  • Crie uma estratégia de resposta proativa a incidentes: Complemente medidas defensivas com estratégias de resposta a incidentes que forneçam informações acionáveis sobre ameaças para ajudar as equipes de TI e segurança da informação a procurar, detectar, analisar, correlacionar e responder ativamente às ameaças.
  •  
    5
    Shares
  • 3
  • 2
  •  
  •  
  •  
  •  
  •  

Compare preços de Uber, 99 e Taxi

Minimum Way

Autor

A Trend Micro Incorporated, líder global em segurança em nuvem, proporciona a empresas e consumidores um mundo seguro para a troca de informações digitais, por meio da segurança para conteúdo na internet e gerenciamento de ameaças. Com mais de 20 anos de experiência, a empresa é pioneira em segurança para servidor. Nós oferecemos segurança altamente conceituada, baseada em cliente, servidor e em nuvem, que atende às necessidades de nossos consumidores e parceiros, impede ameaças mais rápido e protege dados em ambientes físicos, virtualizados e em nuvem. Potencializados pela infraestrutura Trend Micro™ SmartProtection Network™, nossos produtos, serviços e segurança, líderes na indústria de cloud-computing, impedem a ação de ameaças de onde quer que elas surjam, na internet, com o apoio de mais de 1.200 especialistas em inteligência de ameaças em todo o mundo. Para informações adicionais, visite www.trendmicro.com.

Trend Micro

Comentários

You must be logged in to post a comment.

Busca

Patrocínio

Publicidade




Siga-nos!

Curso: Desenvolvimento de APIs

Facebook

Facebook By Weblizar Powered By Weblizar

Newsletter: Inscreva-se

Para se inscrever em nossa newsletter preencha o formulário.