Uma abordagem “baixa e lenta” (“low and slow”, no original em inglês) para ataques cibernéticos financeiros superou o ransomware como principal vetor de ataque de criminosos que tentam cautelosamente extorquir dinheiro usando malware baseado em mineração criptográfica, de acordo com uma nova pesquisa da Darktrace, empresa britânica de segurança cibernética.
Embora o ransomware tenha feito manchetes quando causou estragos no Reino Unido, Europa e EUA, mais proeminentemente com o WannaCry, uma nova geração de malware está silenciosamente se instalando nos dispositivos dos usuários e nos datacenters para roubar eletricidade e largura de banda para minerar moedas criptografadas como Monero.
De acordo com a Darktrace, ao longo de 2018 e em 2019, houve um aumento da proeminência de malware com cargas de mineração criptográfica, bem como o retorno de trojans bancários.
Em uma conversa com a Computerworld do Reino Unido, o diretor de caça às ameaças da empresa, Max Heinemeyer, disse que a Darktrace avistou “formas muito criativas de cripping acontecendo”. Especulando sobre a razão pela qual essa mudança estava ocorrendo, ele disse que é possível que os agentes de ameaças tenham perdido o lucro porque as vítimas do ransomware podem não ter conhecimento suficiente da tecnologia para realmente entrar no Tor e fazer pagamentos de bitcoin.
“Uma abordagem melhor seria ir para a clandestinidade e usar a mineração de criptografia porque é baixa e lenta e garante um lucro”, disse ele.
Heinemeyer disse que a empresa tinha até visto um invasor, que era administrador de sistemas em um grande banco europeu, instalar um dispositivo de mineração sob as placas de piso do data center em que ele trabalhava para usar a capacidade de seu local de trabalho para extrair moeda.
Uma empresa no Reino Unido também foi atingida por uma variante de mineração de criptografia que se espalhou lateralmente pela organização poucos minutos depois do e-mail inicial de spear phishing, onde o trojan havia se espalhado para mais de 400 dispositivos dentro do ambiente.
“Vimos um malware de mineração de criptografia que não está funcionando com capacidade total para evitar o superaquecimento de computadores e fazer o ventilador girar 100%, para evitar essas implicações físicas de serem muito altas”, disse ele.
Ao contrário do bitcoin, o Monero é relativamente fácil de usar em hardware de commodity – por isso é mais fácil minerar a moeda em um laptop habitual e, portanto, mais lucrativo.
“Vimos tantas variantes diferentes de como esses malwares estão se espalhando ou sendo carregados, que é claro dizer que há muitos jogadores no mercado de criptografia, e as barreiras à entrada para criar seu próprio malware de mineração de criptografia são simples hoje em dia”, disse ele.
A fraude com cartão de crédito é “incômoda” porque, para evitar o alerta imediato sobre a aplicação da lei, os criminosos precisam estabelecer redes de lavagem de dinheiro nos quais os intermediários poderiam comprar artigos de luxo com os dados roubados. O ransomware era “outra maneira legal de monetizar” e agora a mineração de moeda criptografada é “mais uma ferramenta em seu arsenal”, como colocou Heinemeyer.
Embora a mineração de criptografia possa não ser tão obviamente prejudicial para a vítima, ela é tão perigosa quanto outros ataques, porque uma vez que uma máquina é comprometida, outros back doors podem ser estabelecidos e, por exemplo, transformados em um trojan de cartão de crédito posteriormente.
“Portanto, ainda há um enorme risco, além da óbvia eletricidade e do poder de computação que está sendo roubado”, disse Heinemeyer.
Estudo de caso
O novo relatório está ligado ao lançamento dos novos ‘módulos de resposta de AI cibernética’ Antigena, da Darktrace, e também inclui alguns exemplos de ataques vistos pelas empresa.
Os módulos Antigena vão além da rede interna de uma organização e até a nuvem pública (especificamente Amazon Web Services e Azure), bem como o Office 365 e outros aplicativos de software como serviço.
A empresa descobriu que, em uma consultoria de investimentos japonesa, um sistema de CCTV conectado à Internet havia sido comprometido – o que significa que eles poderiam visualizar todo o escritório, incluindo o escritório do CEO e a sala de reuniões.
No entanto, a companhia alega que os seus algoritmos detectaram um comportamento incomum no servidor de CCTV não criptografado, com grandes volumes de dados sendo transferidos para um endereço desconhecido na web. Aqui, a Antigena bloqueou a movimentação de dados do dispositivo para servidores externos, enquanto permitia que a câmera operasse como deveria.
“A maioria das ferramentas de segurança antigas não pegariam isso porque diriam: ‘Eu não tenho uma regra para isso’ – uma câmera de CCTV foi desonesta”, disse Heinemeyer. “Nossa AI revida de forma autônoma em vez de esperar que o ser humano confirme, investigue e pesquise isso, porque os dados estão indo para lá agora, nossa AI para o tráfego e diz que em vez dessa única câmera de CCTV que vai trapacear, nós vamos impor o que todas as outras câmeras de CCTV fazem.
“Assim, as operações normais serão aplicadas e apenas o comportamento estranho será interrompido. Desta forma, a exfiltração de dados foi interrompida, mas a câmera de CCTV ainda poderá ser usada ainda pela equipe interna de CCTV.”
Mantenha-se protegido. Conte com a Future! Somos parceiros e certificados pelos maiores fabricantes de Soluções de Segurança, Disponibilidade e Performance do mundo! Preencha o fomrulário abaixo e fale conosco.
Fonte: Computerworld.