Notícias
ALERTA 07/2023
[TLP:CLEAR]
1. O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) tem observado o aumento de ações envolvendo ransomware no Brasil, particularmente o malware Lockbit.
2. O Lockbit, e suas variantes 2.0 e 3.0, é um malware do tipo ransomware que tem o objetivo de criptografar os dados das vítimas com intuito de solicitar resgate. Ele funciona como Ransomware-as-a-Service(RaaS), ou seja, um adversário pode contratar uma versão personalizada do malware, desde que entregue parte dos valores advindos dos ataques com o grupo que desenvolve o artefato malicioso.
3. Além disso, o Lockbit se difere de outros tipos ransomware, porque ele é capaz de, a partir de uma infecção inicial, realizar várias táticas, técnicas e procedimentos para concluir seu objetivo. Como executar escaneamento de rede, escalação de privilégio, enumeração de usuários e privilégios, autopropagação e exploração de vulnerabilidades, tudo isso de maneira automatizada. Esse malware busca aprofundar a intrusão ao máximo na rede, antes de começar a criptografar os arquivos.
4. Esta ameaça indica que conceitos clássicos como “perímetro de segurança”, que segmenta a rede corporativa da Internet, não são suficientes para fazer frente a esse tipo de ataque. O Lockbit explora fraquezas das redes internas das organizações para se propagar e causar o máximo impacto.
5. O comprometimento inicial ocorre de diversas formas, desde o já conhecido "Phishing", até a cooptação de colaboradores das organizações (insiders) mediante pagamento de vantagens financeiras.
6. Diante desta realidade, como medida de prevenção aos ataques de ransomware, recomendamos análise das redes organizacionais buscando implementar as seguintes medidas:
- Manter os sistemas operacionais atualizados;
- Manter sempre um backup off-line, e usuários administradores diferentes dos gestores de domínios;
- Procure regularmente por vulnerabilidades em sua rede;
- Aplique o princípio do privilégio mínimo;
- Limite a utilização de serviços de acesso remoto, como RDP por exemplo;
- Utilize senhas fortes;
- Implemente autenticação de múltiplo fator (MFA); e
- Limite a disponibilidade das ferramentas Mimikatz, WinSCP, Microsoft Sysinternals PsExec e SoftPerfect Network Scanner.
7. Para mais informações sobre o tema, recomendamos o acesso aos links a seguir:
8. Outros Alertas e Recomendações emitidos pelo CTIR Gov podem ser consultados em:
9. O CTIR Gov adere ao padrão Traffic Light Protocol (TLP), conforme definido pelo Forum of Incident Response and Security Teams (FIRST):
Equipe CTIR Gov.
[TLP:CLEAR]