SynAck: o ransomware que tenta se esconder

Os malwares tendem a evoluir conforme criminosos adicionam novas funcionalidades e técnicas para evitar a detecção por programas de antivírus. Às vezes, essa evolução é bastante rápida. Por exemplo, o ransomware SynAck, conhecido desde setembro de 2017 (quando era apenas comum e pouco inteligente), foi recentemente reformulado e tornou-se uma ameaça muito sofisticada que evita detecções com uma eficácia sem precedentes e usa uma nova técnica chamada Process Doppelgänging.

Ataque surpresa

Os criadores de malware utilizam muito a técnica de ofuscamento — tentativas de deixar o código ilegível para que os antivírus não reconheçam o malware — que normalmente empregam pacotes de software especiais para esse objetivo. No entanto, os desenvolvedores de antivírus perceberam e esse tipo de estratégia é facilmente detectada. Os cibercriminosos por trás do SynAck escolheram outro jeito que requer mais esforço de ambos os lados: ofuscar o código de forma completa e cuidadosamente antes de o compilar, o que dificulta significativamente o trabalho de detecção das soluções de segurança.

Esse não é o único método de fuga da nova versão do SynAck emprega. Adicionalmente, implementa uma técnica bastante complicada chamada Process Doppelgänging – e é o primeiro ransomware a ser visto à solta fazendo isso. Foi apresentada pela primeira vez na Black Hat 2017 por pesquisadores de segurança, e em seguida captada por cibercriminosos e utilizada em diversas espécies de malware.

O método Process Doppelgänging conta com alguns recursos do sistema de arquivos NTFS e um carregador de processos desatualizado que existem em todas as versões do Windows desde o Windows XP, e que permitem que desenvolvedores criem malwares “sem arquivo” que fazem com que ações maliciosas se passem por processos legítimos e inofensivos. A técnica é complicada; para saber mais, veja este post do Securelist.

O SynAck tem mais duas características dignas de mencionar. Primeiro, verifica se está instalado no diretório correto. Se não estiver, não executa – essa é uma tentativa de evitar a detecção por meio das sandboxes automáticas que várias soluções de segurança utilizam. Segundo, o SynAck analisa se está instalado em um computador com um teclado definido para um determinado script – nesse caso, o alfabeto cirílico – e, nessa situação, também não faz nada. Essa é uma técnica comum para restringir o malware em regiões específicas.

O crime habitual

Para o usuário, o SynAck é apenas mais um ransomware, notável principalmente pela sua demanda de resgate considerável: US$ 3000 mil. Antes de criptografar os arquivos da vítima, garante que tem acesso aos mais importantes durante a derrubada de alguns processos que, de outra forma, manteriam esses arquivos em uso e fora de perigo.

A vítima vê o pedido de resgate, que inclui as instruções de contato, na tela de login. Infelizmente, o SynAck usa um algoritmo de encriptação poderoso e nenhuma falha foi encontrada em sua implementação d – por isso ainda não há como descriptografar os arquivos atingidos.

Observamos que o SynAck foi distribuído, na maioria das vezes, por meio de um ataque de força bruta ao protocolo Remote Desktop Protocol – o foco são usuários corporativos. O número limitado de ataques até agora – todos nos EUA, Kwait e Irã – corroboram com essa hipótese.

Prepare-se para a próxima geração de ransomware

Mesmo que o SynAck não esteja atrás de você, sua existência é um sinal claro da evolução dos ransomwares, que se tornam mais sofisticados e difíceis de combater. Os utilitários de descriptografia vão ser menos frequentes conforme os criminosos aprendem como evitar os erros que tornaram possível sua criação. Apesar de terem cedido terreno para os mineradores ocultos (conforme previmos), o ransomware ainda é uma grande tendência global, e saber como se proteger contra todas essas ameaças é essencial para todo usuário de Internet.

Aqui estão algumas dicas que podem ajudar você a evitar a infecção ou, se necessário, minimizar as consequências.

• Faça backups dos seus dados regularmente. E os armazene em diferentes mídias que não estejam permanentemente conectadas à sua rede ou à Internet.
• Se você não utiliza o Windows Remote Desktop em seus processos de negócios, o desabilite.
• Utilize uma boa solução de segurança com um firewall integrado e componentes antiransomware específicos, como o Kaspersky Small Office Security para pequenas empresas ou o Kaspersky Endpoint Security for Business para empresas maiores. Os produtos da Kaspersky Lab detectam o SynAck apesar das suas estratégias de fuga.
• Se você já tem outra solução de segurança em seus dispositivos, ainda assim pode instalar o Kaspersky Small Office Security, que é gratuito e compatível com soluções de segurança de outros fornecedores.