Um novo coquetel de extorsão: impressoras de escritório, resgates pequenos e BitLocker

Nossas equipes na América Latina investigaram, nos últimos meses, uma série de incidentes relacionados a configurações inadequadas, à ativação do BitLocker e à exploração de impressoras corporativas. Os invasores usaram esses dispositivos para notificar as organizações de que suas infraestruturas haviam sido comprometidas e que era necessário pagar um resgate para recuperar seus dados.

Este artigo analisa dois incidentes, ocorridos em junho na Colômbia e em maio no México. Destacamos as semelhanças nas comunicações dos invasores e descrevemos as tendências emergentes nos valores dos resgates.

Primeiro indício de um ataque

Em ambos os casos, os usuários afetados notaram, como primeiro sinal, um ícone de cadeado em suas unidades no Windows Explorer. Isso indicava que a unidade estava criptografada com o BitLocker, o que bloqueava o acesso ao seu conteúdo.

Ícone que confirma um disco bloqueado

Era necessária uma chave de recuperação para desbloquear a unidade.

Tentativa de acesso ao conteúdo do disco e solicitação da chave do BitLocker

Esta não é a primeira vez que observamos esse tipo de ameaça; há alguns anos, nossa equipe descobriu uma ameaça conhecida como ShrinkLocker que também utilizava o BitLocker para alcançar seus objetivos.

Primeiro caso: abuso do RDP para criptografar dados

No incidente que ocorreu na Colômbia, em junho, os invasores exploraram um serviço RDP exposto à Internet em um servidor conectado a um dispositivo de armazenamento de 8 TB, que continha dados críticos para as operações da organização. Após assumir o controle do sistema e manipular as credenciais de usuário, os invasores habilitaram o BitLocker apenas na unidade que continha, em sua maior parte, dados financeiros. Após concluir a criptografia, eles bloquearam a unidade e usaram as impressoras da empresa para imprimir notas de resgate.

Nota de resgate (ransom note)

Infelizmente, não foi possível obter evidências relacionadas ao caso, pois a empresa priorizou a restauração do sistema — em uma tentativa de recuperar o disco criptografado. A comunicação com os invasores revelou uma demanda de resgate de até US$ 3.000, e a organização avaliou a possibilidade de realizar o pagamento. Depois disso, o sistema foi restaurado antes que qualquer medida pudesse ser tomada, o que eliminou as evidências necessárias para avaliar o incidente.

Resposta do invasor ao e-mail enviado pela vítima ao endereço incluído na nota de resgate impressa

Este ataque foi possível devido a um serviço de área de trabalho remota (RDP) exposto à Internet, com portas adicionais abertas que os funcionários utilizavam para acessar informações corporativas. Aproveitando essa exposição de rede e a configuração incorreta, os invasores violaram o sistema, identificaram uma unidade adicional e utilizaram o BitLocker para criptografar os dados e exigir o pagamento de um resgate. Manter portas RDP expostas sem os devidos controles de segurança compromete a proteção dos sistemas e das informações, conforme destacado no Relatório Global: Anatomia de um Mundo Cibernético

Portas expostas identificadas no sistema nos últimos meses

A empresa confirmou que, devido a problemas de compatibilidade com aplicativos necessários para a operação, a EPP (Endpoint Protection Platform) estava desabilitada no sistema, o que facilitou que os invasores validassem, enumerassem e executassem aplicativos sem que a atividade maliciosa fosse detectada pelos sistemas de monitoramento unificado.

Segundo caso: conheça o XEntry Team

Em outro incidente, ocorrido no México em maio, nossa equipe identificou como os agentes de ameaças obtiveram o acesso inicial à infraestrutura. Eles exploraram um serviço MSSQL mal configurado, o que os permitiu executar comandos no sistema após a obtenção de credenciais de acesso ao banco de dados a partir de um código publicado sem as devidas medidas de segurança no GitHub.

Ataque do XEntry Team

Neste incidente, o ataque começou três meses antes da sua detecção, quando o adversário descobriu e verificou seu acesso ao ambiente. Depois que os invasores confirmaram seu acesso e nível de privilégios dentro da configuração do servidor MSSQL, que se estendia além do DBMS até o sistema operacional subjacente, eles concentraram sua atividade inicial em manipular aspectos da configuração do servidor web no mesmo sistema, reduzindo suas configurações de segurança e criando arquivos de web shell em pastas de acesso público. Muitas dessas tentativas de manipular o serviço ou criar arquivos maliciosos foram contidas pelos controles de segurança EPP existentes; entretanto, apesar dos alertas gerados, não foram realizadas as investigações necessárias para tratar a atividade reportada.

Comandos executados na tentativa de manipular o servidor web

Em seguida, os invasores confirmaram sua capacidade de executar comandos localmente e configuraram a infraestrutura de ataque para transmitir dados por meio de um canal de comunicação. Ao explorar o serviço MSSQL, eles obtiveram acesso a cada um dos sistemas internos da organização.

O mecanismo de banco de dados utilizado pela empresa era o Microsoft SQL Server 2019.0150.2160.04, que estava mal configurado, permitindo a execução de comandos do sistema operacional por meio do procedimento armazenado estendido xp_cmdshell.

Devido a essa configuração incorreta de um serviço exposto à internet, os invasores estabeleceram um canal capaz de executar qualquer tipo de comando direcionado ao servidor e à infraestrutura local dentro de seu escopo.

Caminho do ataque

Um dos objetivos principais era identificar sistemas e recursos compartilhados com acesso a informações críticas. Nossa análise confirmou o acesso dos invasores a sistemas que armazenavam parâmetros de configuração de serviços de rede, serviços de gerenciamento empresarial, serviços em nuvem, entre outros.

Um subconjunto das informações críticas identificadas e coletadas pelos agente de ameaças

No início de maio, os invasores se concentraram em realizar varreduras adicionais e implantar a solução RMM (Remote Monitoring and Management) Endpoint

Central, da ManageEngine, com o objetivo de estabelecer persistência e iniciar as etapas finais de sua intrusão:

Varredura e implantação do RMM

Nos dias seguintes, foram instalados aplicativos adicionais do tipo RMM, como Mesh Agent e Tactical RMM. Esses aplicativos foram utilizados para implantar tarefas agendadas responsáveis por habilitar o BitLocker e criptografar os discos da infraestrutura de forma isolada, gerando uma chave para cada sistema criptografado:

Comandos executados a partir do RMM para coleta das chaves do BitLocker

Por fim, em meados de maio, os invasores conseguiram aplicar uma política de grupo (GPO) utilizada para implantar tarefas de ativação e criptografia, além de outras responsáveis por continuar implantando aplicativos de RMM por meio de tarefas agendadas. A atividade inicialmente teve como alvo sistemas críticos, mas depois se estendeu a todos os sistemas sincronizados com o controlador de domínio. O ataque se tornou evidente para os usuários quando seus equipamentos exibiram uma tela azul com a mensagem “Hacked by XEntry Team” e suas credenciais deixaram de funcionar para acessar seus sistemas.

Algumas horas depois, notas de resgate começaram a ser impressas nas impressoras do escritório:

Nota de resgate impressa pelo XEntry Team

Esses casos confirmam que os adversários buscam obter acesso à infraestrutura evitando investir em grupos de ransomware ou se associar a eles. Em vez disso, eles se aproveitam de ferramentas nativas da Microsoft para facilitar a criptografia de dados e exigir o pagamento dos resgates. Monitorar e centralizar os logs dos ativos protegidos, bem como gerenciar prontamente os alertas, é fundamental para combater esse tipo de intrusão.

Conclusões

• Embora os sistemas analisados contassem com medidas de segurança implementadas, foi identificada uma falta de gestão adequada dos alertas e decisões incorretas relacionadas a incompatibilidades de aplicativos.
• Recomendamos, com urgência, a configuração do Protocolo de Área de Trabalho Remota (RDP) em estrita conformidade com as melhores práticas de segurança cibernética, visando evitar acessos não autorizados. Isso é particularmente importante, considerando que, de acordo com o nosso Relatório Global: Anatomia de um Mundo Cibernético, mais de 13% dos incidentes estão relacionados a violações de políticas e erros de configuração, o que confirma que esse tipo de falha continua representando um risco substancial.
• As organizações devem priorizar a implementação de políticas rígidas de controle de aplicações, bem como o monitoramento ativo do tráfego de rede em busca de comunicações com servidores de C2. Essa medida é crucial, visto que, de acordo com o mesmo relatório, mais de 20% dos incidentes envolveram o abuso de ferramentas de Monitoramento e Gerenciamento Remoto (RMM) para execução de códigos e estratégias de C2.
• Algumas perguntas permanecem sem resposta devido à ausência de evidências e à restauração prematura dos sistemas, a qual ignorou etapas críticas do processo de resposta a incidentes. É importante garantir um procedimento adequado de resposta a incidentes, preservando as evidências necessárias para confirmar todas as atividades relacionadas e ajustando ou propondo controles que permitam prevenir futuros incidentes com Táticas, Técnicas e Procedimentos (TTPs) semelhantes.
• Embora as notas de resgate não revelem uma conexão clara entre os agentes, certas palavras usadas nas comunicações, bem como o método de entrega e comunicação, podem confirmar um vínculo entre eles:

“Como garantia, não temos avaliações negativas on-line sobre o não cumprimento de nossas obrigações…” (Nota de resgate do primeiro caso)

“Nossa reputação é a garantia de que todo o conteúdo será cumprido…” (Nota de resgate do segundo caso)

Nossas equipes continuarão monitorando essas ameaças.

Assinaturas de detecção

• Trojan.Multi.Agent.gen
• Trojan.Win32.GenAutorunMsSqlServerCommandRun.a
• Trojan.Win32.Generic
• Exploit.Win32.SCShell.a