O grupo de cibercriminosos responsável pelo serviço de ransomware Gentlemen está a utilizar um conjunto de ferramentas desenhadas para neutralizar as defesas dos sistemas informáticos. Segundo uma investigação detalhada publicada pela WeLiveSecurity, o grande objetivo desta tática é contornar as soluções de deteção e resposta de endpoints de forma a garantir que o roubo e a encriptação de dados ocorrem sem obstáculos.
O funcionamento da ameaça GentleKiller
A principal arma deste grupo é uma ferramenta personalizada conhecida como GentleKiller, que atua nas fases iniciais do ataque para neutralizar as proteções. Até ao momento, foram identificadas pelo menos oito variantes desta ameaça, que se faz passar por produtos legítimos de diversas empresas e até por videojogos populares, como é o caso do Valorant. Para contornar as defesas, a ferramenta utiliza uma técnica onde introduz controladores vulneráveis no sistema para conseguir privilégios avançados ao nível do núcleo do sistema operativo.
A análise revela que o código foi pensado para permitir a troca rápida destes controladores ou a exploração de novas falhas sem exigir grandes alterações estruturais. A ameaça tem na sua mira mais de 400 processos associados a cerca de 48 fornecedores de segurança, incluindo nomes de peso como a Microsoft, CrowdStrike, ESET, SentinelOne e Bitdefender. Para dificultar a análise por parte dos investigadores, os ficheiros maliciosos estão protegidos por mecanismos comerciais de ofuscação e utilizam assinaturas digitais roubadas, mesmo que estas já sejam consideradas inválidas.
Arsenal em expansão e alvos preferenciais
Apesar de o GentleKiller ser a solução principal, o grupo tem um leque de opções mais vasto. As campanhas recentes demonstram a integração de ferramentas externas adicionais, como o HexKiller, ThrottleBlood e HavocKiller. Esta diversidade adiciona complexidade à atribuição dos ataques e garante uma redundância aos atacantes caso a solução principal falhe numa determinada rede. Adicionalmente, os cibercriminosos recorrem ao OxideHarvest, um programa externo desenvolvido na linguagem Rust e totalmente focado no roubo de credenciais de acesso.
A seleção de vítimas parece não ser aleatória, com os atacantes a procurarem ativamente redes que possuam configurações específicas e vulneráveis na infraestrutura FortiGate. Este detalhe ganha relevância após a recente descoberta do vazamento de milhares de credenciais associadas a estas redes virtuais privadas. No seu histórico de ataques, os operadores do Gentlemen já comprometeram infraestruturas críticas, como um fornecedor de energia na Roménia, e mantêm ligações a uma rede infetada que conta com mais de mil e quinhentos computadores corporativos.
Nenhum comentário
Seja o primeiro!