Como o Ransomware Sinobi Criptografa Arquivos e Destrói Backups

Resumo

Sinobi é uma cepa de ransomware como serviço, provavelmente uma versão rebatizada do ransomware Lynx, observado pela primeira vez em julho de 2025. Ele usa Curve25519 junto com AES-128-CTR para a criptografia de arquivos e aplica técnicas avançadas de destruição de backups, incluindo abuso de DeviceIoControl para remover Cópias de Sombra de Volume. O malware também esvazia a Lixeira e utiliza a API Restart Manager para fechar processos que mantêm arquivos alvo abertos.

Investigação

A investigação descreveu uma intrusão em que um afiliado usou credenciais roubadas de um provedor de serviços gerenciados terceirizado para acessar uma VPN SSL SonicWall. Após ganhar acesso, o invasor escalou privilégios criando uma conta de administrador local e de domínio nomeada Assistência. O operador então desativou serviços de segurança alterando caminhos binários e usou RClone para exfiltrar dados antes de iniciar a criptografia.

Mitigação

Os defensores devem proteger a infraestrutura de VPN com autenticação multifator e revisar de perto o acesso de MSPs terceirizados. As organizações também devem monitorar a criação não autorizada de contas administrativas e alterações suspeitas na configuração de serviços, especialmente caminhos binários alterados. Proteger Cópias de Sombra de Volume e detectar o uso indevido da API Restart Manager também pode ajudar a interromper a cadeia de ransomware.

Resposta

Se a atividade do Sinobi for detectada, os respondedores devem isolar imediatamente as contas comprometidas, especialmente contas privilegiadas como Assistência. Processos não autorizados RClone devem ser encerrados, e todas as alterações de serviço no Gerenciador de Controle de Serviços do Windows devem ser investigadas. Backups offline devem ser verificados e preparados para recuperação, já que o Sinobi é projetado para destruir cópias de sombra online e o conteúdo da Lixeira.

Execução de Simulação

Pré-requisito: O Check de Pré-voo de Telemetria & Linha de Base deve ter sido aprovado.

Racional: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visar gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a um diagnóstico incorreto.

• Narrativa de Ataque & Comandos: O adversário obteve acesso inicial e está agora executando a carga útil do ransomware. Para maximizar impacto e demanda, o objetivo do adversário é criptografar documentos do usuário e deixar instruções. O script simulará isso por: 1) Criar um documento fictício, 2) “Criptografá-lo” renomeando-o para documento.pdf.SINOBI, 3) Escrever uma nota de resgate chamada README.txt, e 4) Escrever um arquivo contendo a metadados específicos curve25519_pubkey para simular o rodapé de criptografia do ransomware.

• Script de Teste de Regressão:

  # Script de Simulação do Ransomware Sinobi
  $targetDir = "$env:USERPROFILEDesktopSinobi_Sim"
  if (!(Test-Path $targetDir)) { New-Item -Path $targetDir -ItemType Directory }
  
  Write-Host "[+] Simulando criptografia de arquivo..."
  $originalFile = "$targetDirimportant_data.pdf"
  "Conteúdo de Dados Sensíveis" | Out-File -FilePath $originalFile
  
  # Acionar selection_ext e selection_ransom
  Rename-Item -Path $originalFile -NewName "important_data.pdf.SINOBI"
  "SEUS ARQUIVOS ESTÃO CRIPTOGRAFADOS! PAGUE BITCOIN PARA..." | Out-File -FilePath "$targetDirREADME.txt"
  
  Write-Host "[+] Simulando metadados de criptografia (selection_footer)..."
  # Acionar selection_footer
  $metadataFile = "$targetDirmetadata.dat"
  "Encryption_mode: AES256; curve25519_pubkey: 0xABC123" | Out-File -FilePath $metadataFile
  
  Write-Host "[!] Simulação Completa. Verifique o SIEM para alertas."

• Comandos de Limpeza:

  Remove-Item -Path "$env:USERPROFILEDesktopSinobi_Sim" -Recurse -Force
  Write-Host "[+] Limpeza completa."