Um grupo especializado em ataques de ransomware (sequestro de dados) que tem o Brasil como um dos seus principais alvos teve um expressivo aumento de 174% em ataques confirmados no último ano. É o que revela um boletim da ISH Tecnologia, principal empresa nacional de cibersegurança – o ransomware em questão é conhecido como “Mallox”, e está ativo desde junho de 2021.
CONTEÚDO RELACIONADO – Grupo de ransomware SafePay cresce rapidamente e já é a maior ameaça do mundo
O grupo explora servidores Microsoft SQL (MS-SQL) desprotegidos como vetor de acesso inicial. Além disso, seus métodos de ataque também incluem o uso de ferramentas de varredura de rede, exfiltração de dados e criptografia com algoritmos robustos (que impedem o acesso aos dados por parte das vítimas), além da dupla extorsão, na qual há a ameaça de vazamento de dados em sites da dark web.
De acordo com a ISH, os alvos prioritários do grupo incluem varejo, TI, manufatura, transporte e serviços jurídicos. O Brasil é um dos países mais atingidos, junto com Estados Unidos, Canadá, Reino Unido, Alemanha, Austrália e China. A análise indica que o ransomware evita alvos em países da antiga União Soviética, bem como sistemas configurados em russo, o que pode representar algumas pistas sobre o seu surgimento e base de operações.
|
Mapa com os países mais atingidos pelo ransomware Mallox |
Estratégia e expansão
Segundo a ISH, o motivo principal das ações do Mallox é o lucro, com resgates entre milhares e dezenas de milhares de dólares. Além disso, a prioridade está em organizações com receita anual superior a 10 milhões de dólares, e o grupo evita setores como governo, educação e saúde – possivelmente por questões éticas, ou para evitar investigações mais intensas.
A expansão de suas operações inclui o recrutamento de afiliados por meio de fóruns clandestinos na dark web, bem como a utilização do modelo de negócios baseado em Ransomware como Serviço (RaaS). Nele, parceiros pagam para lançar ataques utilizando o software de ransomware criado por outros operadores (com parte do dinheiro para resgate dos dados voltando como pagamento). Ele é especialmente perigoso, e cada vez mais comum, pois tira dos criminosos a necessidade do conhecimento técnico necessário para aplicar um ataque desse tipo por conta própria, contando com as competências técnicas de outros grupos.
Impactos e prevenção
Ataques como o do Mallox podem causar interrupções operacionais (muitas vezes definitivas), danos à reputação da empresa atingida e implicações legais às vítimas. Além disso, a estrutura descentralizada do modelo RaaS dificulta a atribuição de responsabilidade e a identificação dos criminosos envolvidos.
São incidentes cada vez mais sofisticados, e que se adaptam continuamente às defesas modernas. Por conta disso, a ISH afirma que é imprescindível que as empresas adotem uma postura proativa e multifacetada de cibersegurança, para mitigação dos riscos. Também é fundamental investir em técnicas de criptografia e técnicas de evasão, para evitar que os dados caiam tão facilmente nas mãos de criminosos, bem como atualizar frequentemente softwares e hardwares.
