Por que empresas devem se proteger contra o ransomware Ryuk?

O ransomware é uma forma de malware que permite que os invasores usem técnicas de criptografia para infectar redes inteiras (incluindo arquivos e dispositivos associados), tornando-as inacessíveis para a empresa-alvo até que um resgate seja pago. O resgate geralmente é exigido em forma de criptomoeda, como o Bitcoin, e pode chegar a milhares ou até mesmo milhões de dólares. O pagamento médio de resgate chegou a US$ 12.762 em 2019 e o custo médio do tempo de inatividade causado por incidentes em apenas um trimestre chegou a US$ 64.645 por empresa.

Normalmente, agressores têm como alvo grandes organizações ou empresas com ativos críticos e altamente confidenciais, como hospitais. Essa tática de ataque é chamada “big game hunting” (caça de grande porte, em tradução livre). Além disso, diferentemente de outras formas de ransomware, os cibercriminosos que usam o malware Ryuk têm como alvo indivíduos específicos e se infiltram manualmente nas redes da empresa. Usando ferramentas de código aberto disponíveis na rede, os invasores coletam dados confidenciais e obtêm acesso ao maior número possível de áreas da empresa, obtendo um conhecimento detalhado das operações internas.

Baseado no Hermes, um ransomware mais antigo, o Ryuk foi identificado pela primeira vez em 2018 e acredita-se que tenha sido adaptado e desenvolvido por uma organização cibercriminosa russa. Desde 2019, grupos criminosos aumentaram o número de ataques, obtendo milhões de dólares em pagamentos de resgate de instituições financeiras, hospitais e até mesmo administrações públicas locais.

Semelhante aos ransomwares Locky, Cerber e REvil/Sodinokibi, uma vez que o agente da ameaça tenha violado sua rede e a segurança do servidor com o ransomware Ryuk, ele desligará até 180 serviços e 40 processos que seu sistema precisa para operar e fará com que suas informações críticas sejam criptografadas.

Depois que seus arquivos são criptografados, o Ryuk exclui as cópias originais e quaisquer cópias de sombra usando um arquivo .BAT. Isso significa que todas as tentativas das vítimas de recuperar seus dados irão falhar.

O Ryuk usa algoritmos de criptografia simétrica e assimétrica para codificar arquivos, um método semelhante ao dos ransomwares Petya e Mischa, que utilizam diversos métodos para criptografar os dados do usuário.

Ao afetar todos os arquivos e aplicativos da rede, o Ryuk, uma vez que tenha atingido seus objetivos, colocará em cada pasta um arquivo de texto chamado "RyukReadMe.txt", que apresenta os detalhes necessários para o resgate. Se o pagamento for feito, como afirmam os cibercriminosos, uma cópia da chave de criptografia permitirá que os arquivos sejam recuperados.

Visto que o número de ataques de ransomware Ryuk continua aumentando, governos e empresas do mundo todo devem ficar atentos. Alguns dos ataques de Ryuk de maior destaque desde 2018 incluem:

• Hospitais nos EUA, na Alemanha e no Reino Unido (2019-2020): Vários hospitais nesses países foram vítimas de repetidos ataques do malware Ryuk. Em setembro de 2020, a Universal Health Services (UHS), que opera instalações de saúde no Reino Unido e nos EUA, foi atingida pelo malware Ryuk. O incidente custou à empresa US$ 67 milhões e levou um mês para que todas as operações fossem retomadas. Uma rede de mais de 400 hospitais nos EUA e no Reino Unido também foi afetada pelo malware Ryuk em setembro de 2020, com todas as 250 instalações nos EUA impactadas em um dos maiores ataques de Ryuk a instalações médicas já registrados. O Ryuk foi supostamente responsável por 75% dos ataques ao setor de saúde dos EUA em outubro de 2020.
• Lake City, Flórida (2019): Após um funcionário abrir um e‑mail que continha uma forma de malware Ryuk, os sistemas de TI da cidade foram sequestrados, exigindo um resgate de US$ 460 mil. O prefeito de Lake City confirmou que a cidade pagou o resgate para recuperar o acesso às suas operações.
• Cidade de Onkaparinga, Austrália do Sul (2019): Em dezembro de 2019, os sistemas de TI do Onkaparinga Council, em Adelaide, foram infectados pelo ransomware Ryuk, o que custou uma semana de perda de produtividade.
• EMCOR (2020): Em fevereiro, a EMCOR, empresa da Fortune 500, confirmou que vários de seus sistemas de TI foram afetados por um ataque de malware Ryuk. A empresa não confirmou se houve pagamento de resgate.