Nenhuma grande mudança em relação à 2023, exceto que a ameaça de ransomware será ainda mais severa em 2024. Além disso, o crescente número de vazamentos e sites que os divulgam sugere que o ransomware está obtendo ainda mais sucesso.

O Ransomware Radar Report 2024 da Rapid7 coleta sua inteligência de uma análise de sites de vazamento visíveis, de código de ransomware e de conversas em fóruns clandestinos. O resultado é uma visão intrigante do estado atual do ransomware global, e não é um resultado reconfortante.

O ano de 2023 foi um ponto alto em ataques de ransomware, mas 2024 está caminhando para ser pior. A Rapid7 rastreou mais de 2.500 ataques de ransomware no primeiro semestre de 2024. Isso é mais de 14 ataques reivindicados publicamente todos os dias. Como isso é compilado principalmente de sites de vazamento monitorados, o número real pode ser muito maior (incluindo ataques em que o resgate é pago, mas não divulgado, e nenhum dado é vazado, e ataques por grupos que não operam um site de vazamento).

O número de postagens em sites de vazamento continua a crescer, de uma média de 24 por mês no mesmo período de 2023 para 40 por mês no primeiro semestre de 2024. Isso talvez não seja surpreendente com a migração contínua dos criminosos para a dupla extorsão de criptografia e exfiltração de dados. Christiaan Beek, diretor sênior de análise de ameaças da Rapid7, comentou: “O ransomware somente de criptografia quase não existe mais; é tudo dupla extorsão hoje em dia”.

Pode parecer surpreendente que o grupo Dark Angels, recentemente vinculado a um ataque e pagamento de resgate de US$ 75 milhões, não esteja incluído no relatório. O motivo é que a Rapid7 concentra sua análise nos 20 principais grupos que usam ativamente sites de vazamento. A Dark Angels usa o site de vazamento Dunghill, mas não é o grupo mais ativo. Parecem estar focados em whaling ao invés de tentar comprometer um grande número de usuários e sistemas. Simplesmente pelo volume de vazamentos publicados, não estão incluídos neste relatório.

Uma das conclusões que a Rapid7 chegou é que a tentativa de comprometimento em larga escala, ao invés de whaling, é a maior ameaça. “Fizemos uma análise dos corretores de acesso em um fórum clandestino de ransomware”, comenta Beek. “O que descobrimos é que o acesso que eles forneciam era principalmente para empresas com cerca de US$ 5 milhões de receita anual — empresas de pequeno a médio porte”.

O relatório fornece um gráfico fascinante e esclarecedor de postagens de vazamento dos dez grupos de ransomware mais ativos do início de janeiro até o final de junho de 2024.

Duas coisas se destacam. Primeiro, a queda de atividade do grupo LockBit em junho, que vinha apresentando atividades consistentemente altas. Não coincidentemente, no mês da queda o FBI anunciou que havia obtido sete mil chaves de descriptografia do LockBit.

“Há muita coisa acontecendo com o LockBit no momento”, explicou Beek. “E se você ficar por dentro das conversas underground, houve rumores e negações sobre parcerias, e rumores de que o LockBit estava mudando seu site de vazamento, e você precisaria de uma senha para entrar nele e adicionar novos vazamentos. Mas também há uma tendência de queda no número de vazamentos vindos do consórcio LockBit.”

É muito recente para tirar conclusões sobre como as coisas acabarão se desenrolando. Mas, acrescentou Beek, “também há uma grande oportunidade quando você é pego pela polícia e as chaves de descriptografia vazam. Seus afiliados perdem a fé”. O crime cibernético é administrado como um negócio, e as empresas têm sucesso ou fracasso em sua reputação de marca. A ação da polícia pode enfraquecer a reputação da marca. E se isso acontecer, os afiliados podem pular do barco e se mudar para uma “família” diferente; e até mesmo os membros do grupo podem sair e se juntar a um outro.

O segundo destaque do gráfico é o aparecimento repentino do grupo RansomHub. Isso ocorreu perto do desaparecimento do AlphV (também conhecido como BlackCat, Noberus), tão perto que houve fortes rumores de que o RansomHub é basicamente uma reencarnação do AlphV. Beek não tem tanta certeza.

O relatório descreve duas maneiras pelas quais o Rapid7 examina o código do ransomware para procurar conexões entre diferentes grupos. O primeiro é o coeficiente de similaridade de Jaccard, que mede a similaridade entre conjuntos de amostras finitas. Isso mostra, por exemplo, uma forte ligação entre o ransomware Play e a família de ransomware Morok que surgiu em fevereiro de 2024.

O Rapid7 então usa o Machoc Hash, introduzido pela Agência Francesa de Segurança Cibernética (projetado para fornecer uma representação de hash difusa das chamadas de função em binário) para analisar a estrutura subjacente do software. O resultado combinado dessas duas análises mostra possíveis relacionamentos entre diferentes famílias de ransomware.

Essas análises mostram algumas conexões entre o código AlphV e o código RansomHub, mas nada que não pudesse ser explicado por um codificador reescrevendo linhas de uma fonte diferente. “A sugestão de que o RansomHub é o AlphV renascido não é algo que eu poderia defender em um tribunal”, disse Beek.

Embora o relatório forneça informações detalhadas do estado atual do mundo do ransomware e alguns dos métodos que o Rapid7 usa para rastrear e detectar diferentes famílias, ele também fornece dados de alto nível que podem ser usados ​​imediatamente para aumentar a resiliência contra ataques. Por exemplo, os negócios ainda não estão cobrindo o básico. RDP e VPNs continuam sendo a causa mais comum de acesso fornecido pelos corretores de acesso, apesar de isso já ser conhecido há vários anos.

Mas, acrescentou Beek, “O vetor de ataque número um onde as pessoas estão sendo comprometidas é por não implementar a autenticação multifator ou fazê-lo da maneira errada. E ainda estamos deixando a porta aberta por não corrigir vulnerabilidades críticas. Então, isso me diz que nossa higiene cibernética básica ainda não é boa. Estou neste setor há 20 anos e venho dizendo a mesma coisa há 20 anos: ‘Coloque seus fundamentos em ordem”.

Para saber mais, clique aqui.