Ransomware mais rápido de sempre

Check Point Researchers revela "Rorschach", o Ransomware mais rápido de sempre A Check Point Research (CPR) e a Check Point Incident Response Team (CPIRT) detetaram uma estirpe, anteriormente anónima, de ransomware, agora denominada "Rorschach", utilizada contra uma empresa sediada nos EUA. Altamente personalizável e com características tecnicamente únicas nunca vistas em ransomware, o Rorschach é um dos ransomware mais rápidos de sempre. O ransomware foi implementado através do uso de um DLL side-loading do Cortex XDR da empresa Palo Alto Network, um produto de segurança comercial assinado, num método de carregamento não utilizado de forma comum para carregar o ransomware. A informação foi devidamente divulgada à Palo Alto Networks. Maputo, 4 de abril de 2023 Toda a gente vê coisas diferentes A Check Point Research (CPR) está sempre atenta a novos e emergentes ataques e tendências de cibersegurança. Hoje, a CPR e a CPIRT estão a chamar a atenção para uma nova e mais sofisticada estirpe de ransomware que anteriormente nem tinha nome. Denominado "Rorschach" pelos nossos investigadores, este "ransomware" foi utilizado num ataque contra uma empresa sediada nos EUA. O que faz com que Rorschach se destaque de outras estirpes de ransomware é o seu nível elevado de personalização e as suas características tecnicamente únicas que nunca tinham sido vistas em ransomware. De facto, o Rorschach é uma das estirpes de ransomware mais rápidas de sempre, no que toca à velocidade da sua encriptação. Curiosamente, o Rorschach foi implementado através da utilização de um DLL side-loading da ferramenta Cortex XDR Dump da empresa Palo Alto Network, um produto de segurança comercial assinado. Este método de carregamento não é vulgarmente utilizado para carregar ransomware, e, assim, revela uma nova abordagem adotada pelos cibercriminosos para escapar à deteção. A vulnerabilidade que permitiu a implementação do Rorschach foi devidamente revelada à empresa Palo Alto Networks. O que é que descobrimos? Enquanto respondia a um caso de ransomware contra a empresa sediada nos EUA, o nosso CPIRT deparou-se recentemente com uma estirpe única de ransomware implementada através de um componente do Cortex XDR da Palo Alto Network, um produto de segurança comercial. Ao contrário de outros casos de ransomware, o ator da ameaça não se escondeu atrás de um pseudónimo e parece não ter qualquer afiliação a nenhum dos grupos de ransomware conhecidos. Estes dois factos, raridades no ecossistema do ransomware, despertaram o interesse da CPR e levaram-nos a analisar minuciosamente o malware recentemente descoberto. Velocidade nunca vista e características muito pouco comuns em ransomware Ao longo de toda a sua análise, o novo ransomware exibiu características únicas. Uma análise comportamental do novo ransomware sugere que é parcialmente autónomo, espalhando-se automaticamente quando executado num Domain Controller (CD), enquanto limpa os registos de eventos dos dispositivos afetados. Além disso, é extremamente flexível, funcionando não só com base numa configuração incorporada, mas também em numerosos argumentos opcionais que lhe permitem alterar o seu comportamento de acordo com as necessidades do operador. Embora pareça ter-se inspirado em algumas das mais infames famílias de ransomware, também contém funcionalidades únicas, raramente vistas entre os ransomwares, tais como a utilização de syscalls diretos. A nota de ransomware enviada à vítima foi formatada de forma semelhante às notas de ransomware Yanluowang, embora outras variantes tenham apresentado uma nota que mais se assemelhava às notas de ransomware do DarkSide (fazendo com que algumas se referissem erroneamente a ela como DarkSide). Cada pessoa que examinava o ransomware viu algo um pouco diferente, o que nos levou a dar-lhe o nome do famoso teste psicológico - Rorschach Ransomware.