Diário de um ataque de ransomware: os bastidores do incidente da Colonial Pipeline

O ransomware representa um golpe devastador para qualquer organização. Os prejuízos financeiros são a primeira coisa que vem à mente, mas outros aspectos do incidente podem ser igualmente graves ou até piores. A interrupção causada por um único ataque de ransomware se espalha por toda a operação e gera um efeito cascata que pode ter consequências de longo alcance. O incidente com o ransomware da Colonial Pipeline, em maio de 2021, é um bom exemplo de como esse efeito cascata se manifesta.

Estima-se que as empresas afetadas por ransomware percam, em média, seis dias úteis, e 37% delas enfrentamparalisação de uma semana ou mais. Isso é algo que ninguém pode se dar ao luxo de suportar, especialmente agora, com os orçamentos bastante apertados em meio a uma economia incerta. A interrupção na Colonial Pipeline não só afetou a produtividade da empresa, mas também o cotidiano de muitos americanos, colocando em evidência o perigo dos ataques cibernéticos contra infraestruturas ou serviços essenciais. A maioria dos ataques de ransomware envolve operações complexas e obscuras, e os detalhes exatos raramente vêm à tona. Mas o incidente com o ransomware na Colonial Pipeline foi amplamente investigado, pesquisado e divulgado, o que oferece uma rara visão interna de como ocorre um ataque desse tipo.

5 fatos sobre ransomware e empresas que você deve lembrar

• O risco de ransomware disparou no primeiro semestre de 2021, com uma estimativa de304,7 milhões de tentativas de ataques de ransomware.
• 50% dos profissionais de TInão acreditam que sua organização esteja preparada para se defender de um ataque de ransomware.
• 70% dos líderes de TI acreditam que suas empresas serão prejudicadas por ataques por e-mail no próximo ano.
• Estima-seque o custo de um incidente de ransomware — incluindo investigação, correção e recuperação — em todo o mundoultrapasse US$ 265 bilhões até 2031.
• Quase um terço (32%) das pequenas e médias empresas que responderam aum estudo de 2020apontaram a falta de orçamento como o maior obstáculo à segurança digital.

A história do incidente com o oleoduto Colonial

Preparação da operação

O grupo de ransomwareDarkSideganhou notoriedade por realizar um ataque bem-sucedido contra a Colonial Pipeline, obtendo um ganho estimado em pouco mais de US$ 4 milhões. Mas essa operação não foi conduzida diretamente pelos desenvolvedores e operadores do DarkSide. Em vez disso, o ataque à Colonial Pipeline foi realizado por um afiliado da operação mais ampla, utilizando o malware proprietário do DarkSide.  Essa afiliada contratou seus próprios subcontratados por meio defóruns da dark webe reuniu recursos de mercados de dados e vazamentos da dark web para realizar o ataque.

Então, o grupo de criminosos cibernéticos acionou sua armadilha, atacando a Colonial Pipeline em um ataque devastador que paralisou o maior oleoduto de combustível dos EUA. O ponto de entrada do grupo foi uma única senha de funcionário comprometida, que lhes deu as chaves do reino. Usando essa senha roubada, o afiliado do DarkSide infiltrou-se na segurança digital reconhecidamente negligente da Colonial Pipeline e entregou sua carga — o ransomware exclusivo do DarkSide — para criptografar os sistemas e dados da empresa. Depois disso, veio a parte fácil: o afiliado configurou um temporizador para a ativação do malware, fez sua exigência de resgate e ficou esperando o dinheiro chegar.

Acionando a armadilha

Pouco mais de uma semana após a invasão inicial, a infecção por ransomware teve início, dando início à fase final da operação do afiliado.  Um funcionário que iniciava seu dia de trabalho na sala de controle central da Colonial Pipeline viu uma nota de resgate exigindo criptomoeda aparecer em seu computador e chamou seu supervisor. Então começou a corrida para a Colonial Pipeline, que tentava se antecipar à infecção para preservar seus sistemas e dados. Depois de desligar o oleoduto para tentar mitigar os danos e impedir que os hackers avançassem ainda mais, a Colonial teve que se apressar para trazer especialistas para ajudar.

Os invasores paralisaram a Colonial Pipeline com efeitos devastadores, interrompendo o abastecimento de gasolina em todo o leste dos EUA. O alarde da mídia em torno do ataque levou consumidores preocupados a esperar em longas filas nos postos de gasolina, com medo de uma iminente escassez de combustível que poderia se prolongar — o que, na verdade, não chegou a se concretizar. Mas isso não importou. Todos os principais veículos de notícias cobriram essa grande notícia, e a segurança cibernética se tornou o assunto favorito de todos, especialmente no que diz respeito ao uso da segurança cibernética na guerra e aos ataques cibernéticos perpetrados por Estados-nação — embora tenha sido determinado, no fim das contas, que não se tratava de uma operação conduzida por agentes de ameaças de Estados-nação, mas apenas por cibercriminosos gananciosos.

Colhendo os lucros (e as consequências)

Além de quaisquer resgates pagos pela descriptografia, a quadrilha roubou cerca de 100 gigabytes de dados que podiam ser altamente confidenciais. Isso lhes deu uma oportunidade adicional de lucrar, independentemente de a Colonial Pipeline ter decidido pagar o resgate ou não. Além disso, pagar aos invasores não significa que os dados da vítima serão devolvidos na íntegra e que não serão duplicados ou utilizados em outra operação de crime cibernético. Nunca há garantia de que o grupo já não tenha copiado e vendido seus dados, e você nunca pode ter certeza se eles estão dizendo a verdade quando afirmam que não fizeram isso. Na verdade,menos de 60%das empresas que pagam o resgate conseguem recuperar pelo menos parte de seus dados, e 39% das empresas que pagam o resgate nunca mais recuperam nenhum de seus dados.

Por qualquer padrão, o ataque do afiliado do DarkSide foi um sucesso estrondoso. Os invasores obtiveram um grande ganho financeiro e um tesouro de dados valiosos. A Colonial Pipeline pagou aos invasores pelo menos um resgate de US$ 4,4 milhões em pouco tempo. A organização principal do DarkSide também lucrou: de acordo com pesquisadores da FireEye, os afiliados do DarkSide são obrigados a repassar cerca de 25% dos pagamentos de resgate inferiores a US$ 500 mil e 10% de qualquer resgate bem-sucedido acima de US$ 5 milhões para a organização principal.

Os cibercriminosos responsáveis por essa operação causaram grande impacto no cenário mundial e nos círculos de hackers. Eles acumularam recursos que lhes permitiriam conduzir futuras operações de cibercrime, reforçaram sua reputação e a do grupo de certas formas, ao mesmo tempo em que criaram um problema que acabou levando ao fim do DarkSide. Uma investigação em grande escala e com recursos consideráveis sobre as circunstâncias e os envolvidos no ataque à Colonial Pipeline forçou o DarkSide a entrar na clandestinidade, e a organização foi oficialmente dissolvida. Parte do dinheiro do resgate foi posteriormente recuperada pelo FBI em uma operação secreta contra o crime cibernético.

O ransomware é muito lucrativo, especialmente a variante de criptografia dupla preferida pelo DarkSide. Antes de o grupo desaparecer após o incidente com a Colonial Pipeline, o DarkSide havia recebido US$ 90 milhões em pagamentos de resgate em bitcoin ao longo de sua curta existência, de acordo com analistas de blockchain daElliptic. Eles estimaram ainda que o pagamento médio de resgate em uma operação do DarkSide era de cerca de US$ 1,9 milhão. Do total arrecadado pelas operações do DarkSide, esses especialistas estimam que US$ 15,5 milhões foram para o desenvolvedor do DarkSide, enquanto US$ 74,7 milhões foram para seus afiliados.

A previsão não é boa

Esse ataque colocou o ransomware no centro de um debate cultural mais amplo sobre como proteger recursos importantes e se defender contra o crime cibernético no mundo digital. Na esteira desse ataque, o governo federal dos EUA lançou o site “Ransomware One-Stop” para reunir em um único local os recursos disponíveis do governo, com o objetivo de oferecer apoio às empresas na luta contra o crime cibernético. Trata-se de uma iniciativa oportuna – os ataques de ransomware continuaram a atingir as empresas, atingindo novos patamares nunca antes vistos no segundo trimestre de 2021.

• O ransomware representa atualmente 69% de todos os ataques envolvendo malware

• Isso representa um aumento de 30% em relação ao mesmo trimestre de 2020. Esse aumento inclui

• Houve um aumento maciço de 45% nos ataques de ransomware somente em abril de 2021

• Pesquisadores do Reino Unido observaram que 22% dos ataques no primeiro trimestre de 2021 foram de ransomware

O Futuro do Risco de Ransomware

O que podemos esperar da evolução do ransomware e do crime cibernético no futuro próximo? Aqui estão três das nossas previsões.

1. Maior uso do ransomware como arma

Em dezembro de 2020,o verdadeiro impacto de umataque maciço e precisamente direcionado, perpetrado por um Estado-nação, foi sentido pelo governo dos Estados Unidos e por muitas grandes corporações, na sequência de uma violação de segurança na SolarWinds, gigante do setor de software de segurança cibernética. Um emaranhado confuso de backdoors, patches falsos, comprometimento de e-mails corporativos, códigos maliciosos, phishing e muito mais foi desvendado, expondo o fato alarmante de que hackers de um Estado-nação, provavelmente patrocinados pela Rússia, estavam dentro dos sistemas do governo dos EUA e de agências de defesa há meses, acessando todos os tipos de informação. O mesmo grupo de hackers também foi associado a ataques contra a Microsoft, a Cisco, a FireEye e outras grandes empresas do setor de tecnologia. Esta é uma das maiores demonstrações, até o momento, do uso do ransomware como ferramenta de espionagem ou até mesmo de guerra.

2.O risco de phishing que não para de aumentar

O risco de phishing está crescendo vertiginosamente, com um aumento de quase 300% em 2021 em relação aos números recordes de 2020. Parte desse aumento pode ser atribuída aos contínuos lockdowns decorrentes da pandemia, que prolongaram o trabalho remoto e a adoção de novos modelos híbridos de trabalho. Infelizmente, estima-seque 74% das organizações nos Estados Unidossofreram pelo menos um ataque de phishing em 2020, e 80% dos entrevistados em uma pesquisa realizada no Reino Unido afirmaram que também observaram um aumento no número de ataques de phishing enfrentados por suas organizações.

3.Aumento dos ataques estratégicos com precisão milimétrica

Pesquisadores constataram que o ransomware direcionado cresceu impressionantes767%, superando facilmente todos os outros tipos. Esse aumento nas mensagens maliciosas elaboradas com cuidadosa engenharia social tem sido sentido especialmente na região da Ásia-Pacífico (APAC). Números recentesregistrados por pesquisadores do Reino Unidotambém revelam um quadro preocupante, com um aumento recorde de 11% em relação ao mesmo período do ano anterior nos ataques contra alvos britânicos no primeiro trimestre de 2021. As empresas do Reino Unido sofreram, em média, 172.079 ataques cibernéticos cada uma entre janeiro e março de 2021, o equivalente a 1.912 por dia. Os cibercriminosos estão escolhendo seus alvos com sabedoria para obter o máximo benefício de cada ataque e minimizar as investigações das autoridades que poderiam colocá-los em apuros.

Descubra o segredo para uma defesa eficaz contra ransomware

Para combater o ransomware, é preciso começar por combater o phishing. Implemente uma defesa inteligente contra ameaças de ransomware em um piscar de olhos com a segurança automatizada de e-mail baseada em IA doKaseya 365 User. A escolha ideal para combater a enxurrada de e-mails de phishing perigosos que atingem todas as empresas, oKaseya 365 User oferece segurança em camadas para maior proteção com três escudos poderosos.

• O TrustGraph utiliza mais de 50 pontos de dados distintos para analisar completamente as mensagens recebidas antes de permitir que elas cheguem às caixas de entrada dos funcionários. O TrustGraph também aprende com cada análise que realiza, adicionando essas informações à sua base de conhecimento para aprimorar continuamente sua proteção e continuar aprendendo sem intervenção humana.

• O EmployeeShield adiciona uma caixa bem visível às mensagens que possam ser perigosas, alertando os funcionários sobre comunicações inesperadas que possam ser indesejáveis e permitindo que eles denunciem essa mensagem com um clique para que seja analisada pelo administrador.

• O Phish911 permite que os funcionários denunciem instantaneamente qualquer mensagem suspeita que receberem. Quando um funcionário denuncia um problema, o e-mail em questão não é apenas removido da caixa de entrada desse funcionário — ele é removido da caixa de entrada de todos e colocado automaticamente em quarentena para análise do administrador.

A escolha é clara: a segurança inteligente e automatizada de e-mails é a decisão certa para as empresas em 2021 e nos anos seguintes. Deixe-nos ajudá-lo a proporcionar à sua empresa os grandes benefícios da segurança automatizada por um preço acessível, sem sacrificar a funcionalidade nem a inovação ao escolher oKaseya 365 User.Agende uma demonstração hoje mesmo.