Um ataque de ransomware interrompido antes de se propagar

O Microsoft Defender demonstrou recentemente a rapidez com que ferramentas de segurança automatizadas podem bloquear um ataque de ransomware ao travar uma intrusão na QNET em 128 segundos, desde o momento da primeira deteção até ao isolamento total do dispositivo. O ataque começou com um ficheiro malicioso que abusou do mshta.exe, um utilitário legítimo do Windows, para transferir discretamente uma carga maliciosa. A partir daí, os atacantes tentaram estabelecer persistência, roubar credenciais e mover-se lateralmente na rede. A resposta automática do Defender cortou esse processo antes que pudesse escalar para um incidente de ransomware de grandes proporções.

Este incidente é relevante não apenas pela rapidez envolvida, mas porque ilustra uma mudança mais ampla na forma como as ferramentas de segurança modernas são concebidas para responder a ameaças sem esperar pela intervenção de um analista humano.

Como o ataque se desenrolou

A intrusão na QNET seguiu um padrão que se tornou cada vez mais comum em campanhas de ransomware. Em vez de executarem um ficheiro manifestamente malicioso, os atacantes apoiaram-se no mshta.exe, um executável do Windows normalmente usado para executar aplicações HTML. Por ser uma ferramenta de sistema fidedigna e assinada, o mshta.exe pode contornar algumas verificações de segurança tradicionais que se focam em ficheiros desconhecidos ou não assinados.

Assim que o ficheiro malicioso foi executado através do mshta.exe, este foi buscar uma carga secundária concebida para dar aos atacantes um ponto de apoio no dispositivo comprometido. A partir daí, o objetivo era estabelecer persistência, recolher credenciais e tentar propagar-se pela rede — os mesmos blocos de construção observados em muitas operações de ransomware que, em última análise, levam à encriptação e extorsão em larga escala. O roubo de credenciais, em particular, é uma etapa crítica, uma vez que as informações de início de sessão roubadas podem permitir que os atacantes se façam passar por utilizadores legítimos e acedam a sistemas que, de outra forma, estariam protegidos. Esta mesma dependência de credenciais roubadas surgiu noutros incidentes recentes, incluindo uma campanha em que hackers ligados ao estado russo exploraram uma vulnerabilidade zero-day do Zimbra para roubar códigos de autenticação de dois fatores, sublinhando a frequência com que o acesso a credenciais é o verdadeiro prémio que os atacantes procuram.

Porque é que a resposta de 128 segundos é importante

O que distinguiu este incidente não foi a técnica de ataque em si, que é um método bem documentado, mas a rapidez com que foi neutralizado. A funcionalidade de isolamento automático de dispositivos do Microsoft Defender detetou a atividade maliciosa e cortou a conectividade de rede do dispositivo comprometido em cerca de dois minutos após o primeiro alerta de gravidade elevada. Esse isolamento impediu que os atacantes se movessem lateralmente para outros sistemas, que é tipicamente a fase em que os operadores de ransomware identificam dados valiosos, desativam cópias de segurança e se preparam para lançar cargas de encriptação em todo o ambiente.

Em muitos casos de ransomware, o intervalo entre o comprometimento inicial e o impacto em toda a rede pode prolongar-se por horas ou até dias, dando às equipas de segurança tempo para investigar, mas também dando aos atacantes tempo para se entrincheirarem. O isolamento automático comprime esse intervalo de forma drástica. Em vez de esperar que um analista reveja um alerta, o correlacione com outros sinais e coloque manualmente um dispositivo em quarentena, o sistema toma essa medida de contenção por si próprio, no momento em que a confiança na deteção é suficientemente elevada.

O que isto significa para si

Para os utilizadores comuns e pequenas organizações sem uma equipa dedicada de operações de segurança, este tipo de resposta automática é indiscutivelmente mais valioso do que qualquer melhoria isolada na deteção. O ransomware raramente tem sucesso porque os atacantes são indetetáveis. Tem sucesso porque existe frequentemente um desfasamento entre a deteção e a ação, e esse desfasamento dá aos atacantes espaço para se propagarem. As ferramentas que isolam um dispositivo comprometido automaticamente reduzem esse espaço a quase nada.

Isto também reforça um ponto que muitas vezes se perde na cobertura do ransomware: a prevenção é importante, mas limitar o raio de ação quando a prevenção falha também o é. Nenhum sistema é perfeitamente imune a um ficheiro malicioso habilmente disfarçado, especialmente um que abuse de uma ferramenta fidedigna do Windows como o mshta.exe. O que separa um incidente contido de uma violação dispendiosa é, muitas vezes, a rapidez com que o dispositivo comprometido é isolado de tudo o resto.

Para os indivíduos, a lição prática é menos sobre a ferramenta específica e mais sobre o valor da proteção de endpoint que inclui capacidades de resposta automática, e não apenas deteção e alertas. Se gere dispositivos para uma pequena empresa ou rede doméstica, procure software de segurança que consiga isolar um dispositivo por conta própria, em vez de depender exclusivamente de notificações que exigem que alguém atue.

Medidas práticas a tomar

Mantenha a proteção de endpoint e os sistemas operativos totalmente atualizados, uma vez que os atacantes dependem frequentemente de defesas desatualizadas para fazer passar ficheiros maliciosos pela deteção. Seja cauteloso com transferências de ficheiros inesperadas ou anexos de e-mail, já que o acesso inicial em casos como este começa frequentemente com um único ficheiro malicioso. Sempre que possível, utilize ferramentas de segurança que ofereçam funcionalidades de isolamento ou contenção automáticas em vez de monitorização apenas com alertas. Por fim, trate o roubo de credenciais como um risco de primeira ordem: ative a autenticação multifator sempre que disponível e monitorize atividades de início de sessão invulgares, uma vez que as credenciais roubadas continuam a ser um dos caminhos mais comuns usados pelos atacantes para expandir o acesso assim que estão dentro de uma rede.

O caso da QNET é um lembrete útil de que a velocidade de resposta pode ser tão importante quanto a solidez das defesas iniciais. À medida que as táticas de ransomware continuam a evoluir, as organizações e indivíduos mais bem posicionados para evitar danos graves serão aqueles cujas ferramentas conseguem agir em segundos, e não em horas.