O que é o ransomware?

Há diferentes categorias de ransomware, incluindo "encryptors (encriptadores),", que se concentram principalmente no bloqueio de ficheiros, e "screen lockers (bloqueadores de ecrã),", que impedem o acesso do utilizador ao exibir um ecrã de bloqueio. Em ambos os casos, as vítimas são solicitadas a pagar um resgate, geralmente em moedas digitais, como o Bitcoin, para recuperar o controlo sobre os seus dados ou sistemas. 

No entanto, é importante observar que o pagamento do resgate não garante o retorno seguro dos seus ficheiros. Em alguns casos, as vítimas podem não receber nenhuma chave de desencriptação ou podem encontrar malware adicional instalado nos seus sistemas após o pagamento.

O risco associado ao ransomware cresceu com o surgimento do Ransomware as a Service (RaaS), um modelo que permite que mais indivíduos realizem estes tipos de ataques. Além disso, o ransomware moderno é capaz de explorar as vulnerabilidades do sistema para se espalhar por toda a organização, transformando um problema localizado numa crise mais extensa que exige atenção imediata. 

O Ransomware as a Service (RaaS) democratizou o acesso ao ransomware, possibilitando que indivíduos com conhecimento técnico limitado implementem ataques. Este modelo funciona de forma semelhante aos serviços de software tradicionais, oferecendo às pessoas as ferramentas para lançar ciberataques sofisticados.

No modelo RaaS, dois grupos principais trabalham juntos: os criadores do ransomware e os afiliados. Os criadores criam o ransomware e os sistemas necessários para o disseminar. Os afiliados, recrutados online, são responsáveis pela implementação do ransomware. Alguns grupos de RaaS chegam a gastar grandes quantias de dinheiro no recrutamento de afiliados. Uma vez que fazem parte do sistema, estes afiliados podem executar as suas próprias campanhas de ransomware utilizando a infraestrutura existente.

Do ponto de vista financeiro, a RaaS oferece várias formas de ganhar dinheiro. Os afiliados podem pagar uma taxa regular, um pagamento único ou partilhar os lucros com os criadores. Esse processo geralmente é transparente e gerido através de painéis online, nos quais os afiliados podem monitorizar métricas, como o número de infeções e a receita gerada. Os pagamentos geralmente são feitos através de criptomoedas, como o Bitcoin, o que proporciona uma camada de anonimato.

O que torna o RaaS ainda mais desafiador é sua presença na dark web, onde opera como qualquer outro mercado competitivo. Assim como os serviços de software legítimos, as plataformas de RaaS podem oferecer avaliações de clientes, suporte ininterrupto e ofertas de pacotes. Eles até utilizam técnicas de marketing que imitam as das empresas tradicionais. 

O mundo do ransomware está a mudar rapidamente, tornando-se mais complicado com o surgimento de novos tipos. Compreender estas diferentes formas é vital para a implementação de uma defesa forte e flexível contra ciberataques. 

Além disso, há várias famílias de ransomware, como WannaCryptor, Stop/DJVU e Phobos, cada uma com as suas características exclusivas. Estar ciente destas variações ajuda a criar estratégias de defesa especializadas que sejam mais direcionadas e eficazes. 

Abaixo está uma lista dos tipos de ransomwares encontrados com mais frequência, categorizados com base no seu modus operandi.

· Crypto Ransomware ou Encryptors: um dos pilares do kit de ferramentas de ataque, o Crypto Ransomware é especializado em encriptar ficheiros e dados, geralmente utilizando algoritmos de encriptação avançados. Esta tática torna os dados inacessíveis até que uma chave de desencriptação, geralmente obtida apenas através de um pagamento em criptomoeda, seja aplicada. Nesta categoria, famílias de ransomware como o WannaCryptor ganharam notoriedade pelos seus impactos devastadores e de amplo alcance.

· Lockers:Com foco na interação do sistema e não na integridade dos dados, os Lockers incapacitam as principais funcionalidades de um computador, geralmente exibindo uma nota de resgate num ecrã bloqueado. Embora eles não encriptem os dados, a interrupção que causam é palpável. A família de ransomware Phobos, por exemplo, é conhecida por utilizar táticas de bloqueio juntamente com métodos de encriptação.

· Scareware: operando principalmente por meio de manipulação psicológica, o Scareware se apresenta como um software antivírus legítimo. Ele inunda os utilizadores com alertas incessantes sobre infeções por malware inventadas e, muitas vezes, exige pagamento por "serviços de remoção". Algumas variantes avançadas também podem bloquear o computador, emprestando técnicas do Lockers. Muitas vezes, o scareware é a porta de entrada para os infames golpistas de suporte técnico.

· Doxware ou Leakware: o doxware apresenta uma ameaça aumentada ao se apoderar de dados confidenciais e ameaçar a sua divulgação pública. As apostas aqui são elevadas devido ao risco de reputação envolvido. Ocasionalmente, pode encontrar um ransomware com temática policial, que se disfarça de aplicação da lei, afirmando que o utilizador pode evitar ramificações legais pagando uma multa. 

· Ransomware móvel: como os smartphones e tablets são omnipresentes na vida quotidiana, o Mobile Ransomware seguiu o mesmo caminho. Estes ataques têm como alvo a capacidade de utilização do dispositivo ou os dados armazenados nele, obrigando as vítimas a pagar pela restauração.

· Extorsão de DDoS: embora não seja uma forma convencional de ransomware, a extorsão de DDoS emprega princípios semelhantes—coagir as vítimas a fazer pagamentos financeiros para evitar interrupções. Neste caso, a ameaça consiste em sobrecarregar uma rede ou um website com um influxo de tráfego, desativando temporariamente as suas funcionalidades.

Para desencriptar ficheiros comprometidos por ransomware, precisará de uma ferramenta de desencriptação apropriada. Identifique a variante específica de ransomware que está a afetar o seu sistema e consulte os especialistas em cibersegurança para saber sobre a disponibilidade de ferramentas. 

Muitas delas, como as ferramentas de correção de ransomware oferecidas pelo Bitdefender Labs, estão disponíveis gratuitamente. Uma ação rápida e decisiva é fundamental para evitar a disseminação do ransomware, avaliar o seu impacto e iniciar os procedimentos de recuperação.

Utilize o plano de ação a seguir como um roteiro para a recuperação após um ataque de ransomware e para estabelecer uma proteção subsequente de longo prazo. Ele descreve os principais passos, desde os sinais iniciais de um ataque até à análise pós-incidente, para o ajudar a restaurar os sistemas afetados e fortalecer as suas medidas de cibersegurança.

Isolamento e contenção

O primeiro curso de ação deve ser limitar a capacidade de proliferação do malware em sua infraestrutura.

· Isole os dispositivos afetados: desconecte imediatamente o hardware comprometido da rede, da internet e de outros dispositivos conectados.

· Impeça a disseminação: interrompa todas as formas de ligação sem fios (Wi-Fi, Bluetooth) e isole os dispositivos que apresentarem comportamento irregular para evitar a interrupção generalizada em toda a empresa.

Avaliação e identificação

Em seguida, analise minuciosamente o impacto e a origem do ataque para informar os passos seguintes.

· Avalie os danos: examine os sistemas para detetar ficheiros encriptados, nomes de ficheiros anormais e recolha relatórios de utilizadores sobre problemas com acessibilidade de ficheiros. Desenvolva uma lista abrangente de sistemas comprometidos.

· Localize o paciente zero: examine as notificações de antivírus, as plataformas de Endpoint Detection and Response (EDR) e as pistas geradas por humanos, como e-mails suspeitos, para identificar a fonte da infeção.

· Identifique a variante do ransomware: utilize recursos de identificação de ransomware, como Bitdefender Ransomware Recognition Tool, ou estude os detalhes da nota de resgate para especificar o tipo do ransomware em questão. 

Obrigações legais:

Após as respostas técnicas imediatas, é fundamental abordar as responsabilidades legais.

· Notificar as autoridades: comunique o incidente às autoridades policiais competentes. Esta ação pode não só ajudar na recuperação de dados, mas às vezes é essencial para a conformidade com leis como a CIRCIA (EUA) ou o GDPR (UE).

Recuperação e restauração

Com as bases estabelecidas, o foco passa a ser a restauração dos sistemas comprometidos e a garantia de que o malware seja totalmente erradicado.

· Avalie as suas cópias de segurança: se houver cópias de segurança atualizadas, inicie a restauração do sistema, garantindo que as ferramentas antivírus e antimalware eliminem todos os vestígios do ransomware antes de restaurar o sistema.

· Pesquise opções de desencriptação: nos casos em que as cópias de segurança não são uma opção, considere ferramentas de desencriptação gratuitas, como as mencionadas anteriormente, da Bitdefender. Certifique-se de que todos os rastros de malware sejam erradicados antes de tentar a desencriptação.

Sanitização do sistema e atualizações de segurança:

Com as ameaças imediatas neutralizadas, a ênfase agora deve ser na identificação dos pontos fracos e na melhoria da arquitetura de cibersegurança.

· Erradique a ameaça: realize uma análise da causa raiz, normalmente orientada por um especialista em cibersegurança de confiança, para identificar todas as vulnerabilidades do sistema e remover completamente a ameaça da sua rede.

· Dê prioridade à restauração: concentre-se primeiro na restauração dos sistemas mais essenciais, considerando o seu efeito sobre a produtividade e os fluxos de receita.

Opções finais e planeamento futuro

À medida que avança em direção à normalização, fique atento às estratégias de longo prazo para reduzir a probabilidade de ataques futuros.

· Redefina ou reconstrua: se não for possível obter cópias de segurança ou chaves de desencriptação, a redefinição dos sistemas para as configurações de fábrica ou uma reconstrução completa pode ser inevitável.

· Proteção para o futuro: lembre-se de que as vítimas anteriores de ransomware correm um risco maior de ataques subsequentes. Portanto, uma auditoria pós-incidente deve concentrar-se em possíveis atualizações de segurança para reduzir riscos futuros.

Para concluir, uma abordagem coordenada e bem informada da recuperação pode diminuir os danos e acelerar o seu retorno às operações normais.