Prinz Eugen Ransomware: Uma Análise Profunda de um Novo Criptografador Baseado em Go

Resumo

Prinz Eugen é uma nova família de ransomware baseado em Go que utiliza criptografia recursiva e prioriza arquivos modificados recentemente para aumentar a pressão sobre as vítimas. Ele recorre ao ChaCha20-Poly1305 para criptografia de arquivos e inclui recursos antiforense, como limpar as chaves de criptografia da memória e se deletar após a execução. A operação segue um modelo de extorsão fora de banda e não deixa uma nota de resgate no sistema local.

Investigação

A investigação sugere que a intrusão provavelmente começou com credenciais RDP comprometidas, seguida pela entrega do servertool.exe payload através do Chrome. Pesquisadores também observaram o uso da ferramenta RMM RemotePC para movimento lateral e preparação baseada em PowerShell. Atribuição foi vinculada ao ator ROOTBOY com base em identidades compartilhadas de extorsão e atividade de violação anteriormente observada.

Mitigação

As organizações devem reforçar o acesso RDP com autenticação multifator e monitorar o uso não autorizado de ferramentas de gerenciamento remoto. Proteção robusta de endpoints capaz de bloquear executáveis desconhecidos baseados em Go e detectar comportamentos suspeitos do PowerShell também é essencial. Manter backups regulares offline e proteger dados frequentemente modificados pode ajudar a reduzir o impacto dessa abordagem de criptografia de alta pressão.

Resposta

Se a atividade Prinz Eugen for detectada, isole imediatamente os sistemas afetados para interromper movimentações adicionais através de ferramentas RMM ou sessões RDP. Realize forense de memória antes de reiniciar o host ou permitir que o malware se auto-remova, pois isso pode oferecer a melhor chance de recuperar material de criptografia. A resposta a incidentes também deve se concentrar em rastrear possível exfiltração de dados e quaisquer canais de comunicação fora de banda usados pelo atacante.

Execução de Simulação

Pré-requisito: O Check de Telemetria & Baseline Pre-flight deve ter sido aprovado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visar gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a diagnósticos incorretos.

• Narrativa do Ataque & Comandos: O adversário implantou o ransomware Prinz Eugen. Para maximizar o impacto e minimizar a pegada forense, o malware é configurado para deletar os arquivos originais uma vez criptografados usando o --delete parâmetro. Para evitar que o arquivo esteja “em uso” durante sua própria deleção, o malware invoca um shell de comando para criar um breve atraso via ping antes de executar o del comando em seu próprio binário. Esta sequência específica de servertool --delete combinada com cmd.exe /C ping -n 2 > nul & del /F /Q é o principal indicador que estamos simulando.

• Script de Teste de Regressão:

  # Simulação do Comportamento de Linha de Comando do Ransomware Prinz Eugen
  # Este script simula a sequência exata de comando esperada pela regra de detecção.
  
  # 1. Crie um 'servertool.exe' fictício para representar o malware
  $dummyExe = "$env:TEMPservertool.exe"
  New-Item -Path $dummyExe -ItemType File -Force
  
  # 2. Simule a execução do ransomware com os argumentos específicos de linha de comando
  # Nota: Em um ambiente real, esta seria a execução real do processo.
  # Usamos Start-Process para simular a criação de um novo processo com a linha de comando alvo.
  
  $ransomwareCommand = "servertool --delete"
  $selfDeleteCommand = "cmd.exe /C ping -n 2 > nul & del /F /Q `"$dummyExe`""
  
  Write-Host "Simulando Criação de Processo de Ransomware..."
  
  # Acionar a detecção simulando o evento de criação do processo
  # Invocamos cmd para imitar o padrão exato de sequência exigida
  Start-Process "cmd.exe" -ArgumentList "/C `"$ransomwareCommand & $selfDeleteCommand`""

• Comandos de Limpeza:

  # Limpeza de artefatos de simulação
  Remove-Item -Path "$env:TEMPservertool.exe" -ErrorAction SilentlyContinue