Notícias
ALERTA 10/2021
[TLP:WHITE]
1. A análise das recentes campanhas de Ransomware tem revelado a tendência de uso do malware SystemBC como ferramenta auxiliar de anonimização de tráfego e instalação de códigos maliciosos.
2. Descoberto em 2019, o SystemBC atuava até então como backdoor nos sistemas Windows infectados, servindo como proxy para mascarar tráfego de rede e provendo anonimização dos canais de Comando e Controle (C&C).
3. Variantes recentes do malware têm sido usadas como parte de ataques de Ransomware por utilizarem novos recursos, como uso da rede TOR para anonimização dos dados coletados e conexão a servidores de C&C, possibilidade de instalação remota de códigos, DLL's e executáveis maliciosos. A ação do SystemBC tem sido relacionada, também, a técnicas de movimentação lateral e persistência de acesso.
4. A preparação para uma resposta rápida e efetiva a incidentes de segurança causados por malwares envolve o planejamento, atualização e revisão de procedimentos de tratamento e resposta a estes eventos. A ETIR das organizações deve estar familiarizada com ações preventivas e com métodos de tratamento que devem ser executados durante e após um incidente.
5. Ressaltamos a necessidade de implementação de medidas proativas que tenham como objetivos identificar ações iniciais de comprometimento por malwares similares ao SystemBC, tais como:
- Monitorar e detectar comportamentos anômalos, como atividades inesperadas de login, scan de portas, discrepâncias no acesso a servidores de arquivo, tentativas de conexão a servidores de Comando e Controle, dentre outros indícios de abusos; e
- Considerar soluções que integram aprendizado de máquina e recursos de analytics para sistematizar a análise de tráfegos de rede em busca de identificação destas anomalias para correlacionamento com Indicadores de Comprometimento (IoC's) fornecidos por Endpoints, ferramentas anti-malware ou disponíveis publicamente.
6. Além do tratado, reforçamos a necessidade de execução de medidas básicas de segurança:
- Implementação de políticas de senhas e backup;
- Conscientização de usuários;
- Uso de Multi-Fator de Autenticação (MFA);
- Atualização de Sistemas Operacionais;
- Aplicação do princípio de privilégio mínimo; e
- Análise e mitigação de vulnerabilidades.
7. Sugere-se, em complemento, que os seguintes documentos sejam analisados à luz da Política de Segurança da Informação das organizações, para replicação das medidas aplicáveis a cada caso:
a) Técnicas de detecção e investigação de incidentes:
b) Identificação de movimentos laterais:
- https://www.ncsc.gov.uk/guidance/preventing-lateral-movement
- https://attack.mitre.org/tactics/TA0008/
c) Análise do fluxo completo das etapas de um ataque, com indicação de medidas de remediação e mitigação para cada fase:
d) Recomendações para implementação do conceito "zero-trust" em ambientes de nuvem e micro-segmentação de redes:
Equipe CTIR Gov.
[TLP:WHITE]