FBI alerta para ciberataques usando ransomware AvosLocker

O grupo AvosLocker Ransomware as a Service (RaaS) tem como alvo setores críticos de infraestrutura nos EUA, como serviços financeiros, manufatura e instalações governamentais, disse o FBI.

O FBI e o Tesouro dos EUA estão aconselhando as organizações a tomar cuidado com uma variedade específica de ransomware destinada a setores críticos de infraestrutura nos Estados Unidos. Publicado na quinta-feira ada, um comunicado conjunto de segurança cibernética emitido pelas duas agências alerta para um grupo afiliado de Ransomware como Serviço (RaaS) conhecido como AvosLocker.

As vítimas incluem, mas não se limitam a serviços financeiros, manufatura e agências governamentais. O grupo afirma que tem como alvo organizações não apenas nos EUA, mas no Reino Unido, Canadá, China, Taiwan, Alemanha, Espanha, Arábia Saudita e outras nações.

VEJO: Como se tornar um profissional de segurança cibernética: uma folha de dicas (TechRepublic)

Esse ransomware específico criptografa arquivos no servidor da vítima, renomeando-os com uma extensão de .avos, avos2 ou AvosLinux. Com o nome GET_YOUR_FILES_BACK.txt, a nota de resgate informa às organizações vitimadas que seus arquivos e documentos confidenciais foram criptografados e que devem pagar por uma chave e um aplicativo de descriptografia. As vítimas são então instruídas a navegar até um site de pagamento AvosLocker .onion para fazer o pagamento do resgate em Monero (ou Bitcoin com um prêmio de 10%-25%).

Os membros do grupo de ransomware ligaram para as vítimas por telefone para direcioná-las ao site de pagamento e até negociar para reduzir o pagamento, de acordo com o FBI. Durante essas negociações, os cibercriminosos às vezes ameaçam lançar ataques distribuídos de negação de serviço (DDoS). As organizações que não pagam o resgate são avisadas de que seus dados confidenciais serão vazados através do blog de imprensa do grupo.

Os ataques de ransomware AvosLocker exibem indicadores específicos de comprometimento (IoC) como um indício de que uma organização foi infectada. Esses IoCs incluem a modificação das chaves “Executar” do Registro do Windows e o uso de tarefas agendadas. O comunicado também listou as seguintes ferramentas associadas a esses ataques:

Além disso, várias vítimas revelaram vulnerabilidades em sistemas locais do Microsoft Exchange Server como um caminho para a invasão. Também foram visadas as vulnerabilidades do Proxy Shell associadas a CVE-2021-31207, CVE-2021-34523 e CVE-2021-34473, bem como CVE-2021-26855.

“Esse tipo de consultoria tende a ser um reflexo de duas coisas: o aumento do número de ataques perpetrados por um grupo e a disponibilidade de indicadores consistentes de comprometimento ou compreensão do modus operandi do grupo”, disse o CTO da Vectra AI, Oliver Tavakoli. “O ransomware AvosLocker é uma variação bastante padrão da receita usada para o pacote de ransomware – encontre arquivos de interesse, exfiltre-os, criptografe os do ambiente de destino, solte uma nota de resgate, etc.”

VEJO: Política de conscientização e treinamento de segurança (TechRepublic )

Para ajudar as organizações a se protegerem melhor contra um ataque de ransomware AvosLocker, o comunicado oferece as seguintes dicas:

• Configure um plano de recuperação para armazenar várias cópias de dados confidenciais ou proprietários em um local seguro e segmentado, separado de sua rede principal.
• Segmente sua rede e mantenha backups offline de seus dados para minimizar qualquer interrupção em seus negócios em caso de ataque.
• Faça backups regulares de seus dados e proteja com senha todos os backups offline. Certifique-se de que nenhum backup de seus dados críticos possa ser alterado ou removido.
• Atualize regularmente o software antivírus e de segurança em todos os hosts e implemente a detecção em tempo real.
• Atualize seus sistemas operacionais, software e firmware com os patches de segurança mais recentes assim que estiverem disponíveis.
• Revise seus controladores de domínio, servidores, estações de trabalho e diretórios ativos para quaisquer contas novas ou desconhecidas.
• Não conceda privilégios istrativos a todos os usuários. Configure seus controles de o com menos privilégios em mente. Audite todas as contas de usuário que tenham privilégios istrativos.
• Desative todas as portas não utilizadas.
• Considere exibir um banner para qualquer email recebido fora de sua organização.
• Desative os hiperlinks nos e-mails recebidos.
• Use a autenticação multifator sempre e sempre que possível.
• Use senhas fortes e seguras para seus sistemas e contas de rede e altere-as regularmente.
• Exija credenciais de para instalar o software.
• Use redes e VPNs seguras e evite o uso de redes Wi-Fi públicas.
• Ofereça regularmente treinamento de segurança cibernética aos usuários com ênfase em riscos e vulnerabilidades emergentes, como ataques de ransomware e phishing.