Invasão se dá por meio de ataques de força bruta contra o servidor de gerenciamento de sistemas

Ransomware-18.jpg

A Microsoft emitiu alerta para um novo tipo de ransomware baseado em Java, apelidado de PonyFinal. A fabricante de software o descreve como um “ransomware operado por humanos” para diferenciá-lo das variantes “comoditizadas” que são distribuídas de maneira automatizada pelos hackers.

O grupo Security Intelligence da Microsoft disse em uma série de tuítes esta semana que o primeiro estágio de invasão envolve o acesso a uma organização alvo por meio de ataques de força bruta contra o servidor de gerenciamento de sistemas.

Um VBScript, versão interpretada da linguagem Visual Basic, é implantado para executar um shell reverso do PowerShell que permite a exfiltração de dados em um servidor de comando e controle (C&C) pela porta 80. Os hackers também implantam um sistema de manipulador remoto para ignorar o log de eventos.

“Em certos casos, os hackers implantam o Java Runtime Environment (JRE) que o PonyFinal precisa executar. No entanto, as evidências sugerem que os invasores usam as informações roubadas do servidor de gerenciamento de sistemas para atingir endpoints (terminais) com o JRE já instalado”, explica a Microsoft. Portanto, se a organização já tiver o JRE em seus sistemas, ela pode ficar “cega” a qualquer ataque.

De acordo com a Microsoft, o PonyFinal criptografa arquivos em uma data e hora específicas e, como ataques de ransomware “operados por humanos” semelhantes, é provável que aqueles que o mantenham aguardem o momento mais oportuno para implantar a carga útil.

Fonte: CISO Advisor