Um grupo de ransomware com 483 vítimas e um arsenal crescente

Uma operação de ransomware conhecida como The Gentlemen teria comprometido 483 vítimas ao combinar duas peças distintas de ferramentas maliciosas: um utilitário de evasão de defesas chamado GentleKiller e um trojan de acesso remoto chamado EtherRAT. Juntas, essas ferramentas permitem que o grupo desative softwares de segurança na máquina de um alvo e mantenha uma comunicação de comando e controle encoberta que é mais difícil para os defensores interromperem.

O grupo, que pesquisadores de segurança também ligaram a ataques contra organizações como o estádio de gelo holandês abordado em nosso relatório sobre o ataque do grupo de ransomware The Gentlemen ao Thialf, vem expandindo continuamente seu alcance. Em vez de depender de um único exploit inédito, o sucesso do grupo parece vir de empilhar várias técnicas de evasão bem conhecidas em um único pacote automatizado e, em seguida, reutilizar esse pacote contra um grande número de alvos.

Como o GentleKiller derrota softwares de segurança

No centro desta campanha está o GentleKiller, uma ferramenta construída em torno de uma técnica comumente chamada BYOVD, ou "Bring Your Own Vulnerable Driver" (traga seu próprio driver vulnerável). Em termos simples, os atacantes instalam um driver de hardware ou software legítimo, mas falho, no computador de uma vítima. Como esse driver geralmente é assinado digitalmente e confiável pelo Windows, ele pode ser executado com privilégios profundos em nível de sistema. Os atacantes então exploram uma fraqueza conhecida nesse driver para desligar ou cegar o software de segurança em execução na máquina, transformando efetivamente uma peça confiável de software em uma arma contra as próprias ferramentas destinadas a detê-la.

De acordo com reportagens sobre esta campanha, o GentleKiller foi usado para derrotar produtos de 48 fornecedores de segurança diferentes. Esse número importa porque sugere que a ferramenta não foi projetada para evadir um ou dois programas antivírus específicos. Em vez disso, foi construída como um framework amplo e reutilizável, capaz de neutralizar uma grande parte do mercado de proteção de endpoints. Isso espelha um padrão que já acompanhamos em nossa cobertura sobre como o ransomware The Gentlemen cega ferramentas EDR, na qual os operadores do grupo demonstraram um interesse consistente em desativar a detecção antes de implantar seu payload de criptografia propriamente dito.

EtherRAT e o toque de blockchain

O segundo componente, o EtherRAT, cuida da comunicação de comando e controle (C2), o canal que os atacantes usam para enviar instruções a máquinas infectadas e receber de volta dados roubados ou atualizações de status. O que diferencia o EtherRAT é seu uso relatado de infraestrutura de blockchain para essa finalidade. Servidores C2 tradicionais podem ser identificados e derrubados por pesquisadores ou autoridades policiais uma vez descobertos. Ao encaminhar a comunicação por mecanismos baseados em blockchain, os atacantes tornam esse tipo de derrubada significativamente mais difícil, já que os dados de blockchain são distribuídos e resistentes a um ponto único de desligamento.

Essa combinação, um eliminador de defesas baseado em driver emparelhado com um canal C2 resiliente, reflete uma tendência mais ampla entre operações de ransomware como serviço: construir uma vez, vender ou licenciar amplamente e deixar os afiliados executarem campanhas em larga escala contra uma variedade de alvos, incluindo as pequenas e médias empresas que estão sendo cada vez mais singled out por grupos que competem por participação de mercado, como detalhamos em nosso artigo sobre Qilin e The Gentlemen intensificando ataques a PMEs.

O que isso significa para você

Se você gerencia sistemas de TI para uma empresa, ou mesmo se apenas se preocupa com a segurança da sua rede doméstica, a lição central aqui não é específica do The Gentlemen. Trata-se dos limites de confiar em qualquer produto de segurança único. Uma ferramenta capaz de derrotar 48 fornecedores diferentes demonstra que antivírus ou software de detecção de endpoints sozinhos não podem ser tratados como uma defesa completa.

Para indivíduos, o risco prático é menor, mas não zero: grupos de ransomware frequentemente obtêm acesso inicial por meio de e-mails de phishing, serviços de acesso remoto expostos ou software sem patches, os mesmos pontos de entrada que colocam dados pessoais e redes domésticas em risco. Manter os sistemas atualizados, usar senhas exclusivas e ter cautela com anexos não solicitados continua sendo proteção fundamental, independentemente de quão sofisticado o malware de backend se torne.

Para organizações, esta campanha é um lembrete de que pagar um resgate não garante segurança daqui para frente. Como abordado em nossa análise anterior de um estudo da Proofpoint sobre pagadores de ransomware, aproximadamente uma em cada três empresas que pagam um resgate é alvo novamente. Defesas em camadas, backups offline e políticas de allow-listing de drivers que restringem quais drivers em nível de kernel podem ser carregados são proteções muito mais duradouras do que esperar que uma única ferramenta de segurança detecte todas as ameaças.

Principais conclusões

  • Não dependa de um único produto de segurança; defesas em camadas importam mais quando os atacantes projetam ferramentas especificamente para contornar fornecedores individuais.
  • Restrinja quais drivers podem ser carregados em seus sistemas, já que ataques BYOVD dependem da instalação de drivers externos com acesso ao kernel.
  • Mantenha backups offline e testados para que uma infecção por ransomware não force uma decisão de pagamento.
  • Trate e-mails, links e solicitações de acesso remoto inesperados com desconfiança, já que o acesso inicial ainda normalmente começa com engenharia social básica ou software sem patches.
  • Mantenha-se informado sobre grupos como a operação de ransomware The Gentlemen, já que suas ferramentas e alvos continuam a evoluir.