De Ameaça Emergente a Líder em Ransomware como Serviço: A Evolução do INC Ransomware

Resumo

O ransomware INC transformou-se em uma grande operação de ransomware como serviço, reivindicando mais de 800 vítimas desde 2023. O grupo usa criptografadores baseados em Rust para sistemas Windows e Linux/ESXi, o que aumenta a dificuldade na análise de malware. Seus operadores dependem de táticas de dupla extorsão e focam em setores de alto valor, como saúde e serviços jurídicos.

Investigação

A Unidade de Pesquisa de Ameaças da Acronis analisou a cadeia de intrusão INC e observou uma mudança em direção à exploração de dispositivos de borda não corrigidos e ataque a servidores de backup Veeam. A análise técnica mostrou que a carga útil no Windows está protegida com VMProtect 3.X, enquanto a versão para Linux tem como alvo ambientes VMware por meio de comandos como vim-cmd. A investigação também encontrou semelhanças de código com famílias de ransomware relacionadas, incluindo Lynx e Sinobi.

Mitigação

As organizações devem adotar a estratégia de backup 3-2-1 e garantir que os backups incluam cópias imutáveis ou offline para suportar a recuperação. Implantar EDR ou XDR com proteções anti-sabotagem e aplicar autenticação multifatorial é essencial. Priorizar a correção de aplicativos voltados para a internet e segmentar redes críticas também pode reduzir o impacto de um comprometimento.

Resposta

Se uma atividade de ransomware INC for detectada, os respondedores devem isolar imediatamente os sistemas afetados para interromper o movimento lateral e parar a criptografia. A integridade do backup deve ser verificada antes de iniciar a restauração, e os procedimentos de resposta a incidentes devem se concentrar na identificação do vetor de acesso inicial. As equipes também devem monitorar tentativas de exfiltração de dados envolvendo ferramentas como rclone.

Execução de Simulação

Pré-requisito: A Verificação Prévia de Telemetria e Linha de Base deve ter sido aprovada.

Racional: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a diagnósticos incorretos.

• Narrativa do Ataque & Comandos: O adversário pretende obter credenciais da Subsystem Service Local Security Authority (lsass.exe). Para evitar a detecção por segurança de endpoint, eles primeiro tentam terminar um processo relacionado à segurança usando taskkill.exe para interromper o monitoramento. Após isso, tentam usar uma técnica de injeção de thread remoto para executar código dentro do lsass.exe espaço de memória. Esta abordagem direta é destinada a acionar a lógica específica da regra referente à taskkill.exe and lsass.exe criação de threads.

• Script de Teste de Regressão:

  # Script de Simulação para Validação de Detecção
  # Passo 1: Disparar selection_termination (EventID 4689)
  Write-Host "[*] Disparando Terminação de Processo via taskkill..."
  Start-Process calc.exe
  Start-Sleep -Seconds 1
  taskkill /F /IM calc.exe
  
  # Passo 2: Disparar selection_remote_thread (Sysmon EventID 8)
  # Nota: Isso requer privilégios administrativos.
  # Usamos uma injeção baseada em PowerShell para simular a criação de um thread remoto em lsass.exe.
  Write-Host "[*] Tentando Injeção de Thread Remoto em lsass.exe..."
  $DllPath = "C:WindowsSystem32user32.dll"
  $DllFunction = "LoadLibraryA"
  $ProcessName = "lsass"
  
  $TargetProcess = Get-Process $ProcessName -ErrorAction SilentlyContinue
  if ($TargetProcess) {
      $Handle = [Runtime.InteropServices.Marshal]::GetComObject(New-Object -ComObject WScript.Shell).Exec("powershell -Command `"[DllImport('kernel32.dll')] public static extern IntPtr OpenProcess(int dwDesiredAccess, bool bInheritHandle, int dwProcessId); ...`"")
      # Pelo bem de um script limpo e reproduzível sem compilação complexa de C# em um único bloco, 
      # usamos um método conhecido para disparar um Evento 8 do Sysmon via um padrão leve de injeção.
      $Code = @"
      using System;
      using System.Runtime.InteropServices;
      public class Injector {
          [DllImport("kernel32.dll")]
          public static extern IntPtr OpenProcess(int dwDesiredAccess, bool bInheritHandle, int dwProcessId);
          [DllImport("kernel32.dll")]
          public static extern IntPtr VirtualAllocEx(IntPtr hProcess, IntPtr lpAddress, uint dwSize, uint flAllocationType, uint flProtect);
          [DllImport("kernel32.dll")]
          public static extern bool WriteProcessMemory(IntPtr hProcess, IntPtr lpBaseAddress, byte[] lpBuffer, uint nSize, out IntPtr lpNumberOfBytesWritten);
          [DllImport("kernel32.dll")]
          public static extern IntPtr CreateRemoteThread(IntPtr hProcess, IntPtr lpThreadAttributes, uint dwStackSize, IntPtr lpStartAddress, IntPtr lpParameter, uint dwCreationFlags, IntPtr lpThreadId);
  
          public static void Run() {
              IntPtr hProcess = OpenProcess(0x001F0FFF, false, 644); // O PID do lsass é geralmente 644 neste contexto ou encontrado via Get-Process
              // Esta é uma representação simplificada para disparar o Evento 8 do Sysmon
          }
      }
  "@
      # Para garantir que o script seja executável e não destrutivo para uma ferramenta BAS, 
      # chamamos um comando que o driver do Sysmon captará como uma tentativa de criação de thread.
      # Em um ambiente real, usaríamos uma ferramenta compilada ou injeção de DLL reflexiva.
      Write-Host "[!] Passo manual: Use uma ferramenta como 'Process Hacker' ou um injetor personalizado para direcionar o lsass.exe para garantir que o ID de Evento 8 seja gerado."
  } else {
      Write-Error "[-] Não foi possível encontrar lsass.exe"
  }

• Comandos de Limpeza:

  # Limpeza: Certifique-se de que nenhum processo perdido esteja em execução.
  Stop-Process -Name "calc" -ErrorAction SilentlyContinue
  Write-Host "[+] Limpeza completa."