Ransomware NightSpire Evolui: Técnicas Atualizadas e Dicas de Detecção

Resumo

NightSpire é uma família de ransomware que parece operar sob um modelo de entrega Ransomware-como-Serviço . Em vez de depender fortemente de binários embutidos, os operadores rotineiramente trazem utilitários de terceiros para persistência, preparação de dados e exfiltração, indicando atividade manual. Os incidentes foram observados desde o início de 2025 até março de 2026 e geralmente envolvem implantação manual de ferramentas pelo atacante. Indicadores comuns incluem binários de criptografadores personalizados, a .nspire extensão de arquivo em dados criptografados e notas de resgate que seguem padrões de nomenclatura consistentes.

Investigação

Os investigadores da Huntress relataram acesso do atacante por RDP, seguido pela instalação do Chrome Remote Desktop para manter o controle interativo. Os intrusos então usaram ferramentas como Everything, 7-Zip, e MEGASync para identificar dados valiosos, prepará-los para envio e exfiltrá-los. Em etapas posteriores, softwares adicionais, incluindo VMware Workstation and WPS Office foram introduzidos no host. Foram identificados rastros de persistência em vários pontos de extremidade, e o criptografador NightSpire (enc.exe) apareceu com diferentes valores SHA-256 em incidentes separados, sugerindo compilações por operação ou reempacotamento.

Mitigação

Monitore ferramentas de acesso remoto não autorizadas (especialmente novas utilitários adjacentes ao RDP e Chrome Remote Desktop), instalações incomuns de arquivadores de terceiros ou clientes de sincronização, e criação de arquivos que terminam em .nspire. Reduza a exposição bloqueando a execução de binários desconhecidos e aperte os controles de privilégio mínimo ao redor do acesso remoto. Mantenha backups regulares e assegure-se de que proteções de Volume Shadow Copy estejam em vigor para evitar manipulações destrutivas.

Resposta

Se a atividade do NightSpire for suspeita, isole os sistemas impactados, preserve as evidências forenses dos utilitários instalados e da carga de ransomware, e finalize sessões ativas de área de trabalho remota. Restaure a partir de backups limpos verificados e confirme se o criptografador foi totalmente removido. Procure em toda a empresa pelo mesmo conjunto de ferramentas e artefatos relacionados, depois atualize o conteúdo de detecção para capturar padrões repetidos e comportamentos adjacentes do operador.

Execução de Simulação

Pré-requisito: O Check Preliminar de Telemetria & Baseline deve ter sido aprovado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a diagnósticos incorretos.

• Narrativa de Ataque & Comandos:
  O atacante simulado obteve acesso inicial e agora inicia a carga de ransomware. A carga criptografa um arquivo-alvo, renomeia-o com a extensão “.nspire” e deixa uma nota de resgate no mesmo diretório. O atacante usa cmdlets embutidos do PowerShell para evitar escrever binários adicionais, imitando uma abordagem de viver-da-terra.

  1. Selecione um arquivo alvo (por exemplo, um documento dummy).
  2. Criptografar o arquivo usando uma rotina XOR simples (representativa da criptografia de ransomware).
  3. Renomear o arquivo criptografado para que seu nome termine com “.nspire”.
  4. Crie uma nota de resgate nomeada _nightspire_readme.txt contendo instruções de resgate.

• Script de Teste de Regressão: O seguinte script do PowerShell reproduz as etapas acima e gera a telemetria exata que a regra Sigma monitora.

  # Simulação de ransomware NightSpire – gera arquivos .nspire e notas de resgate
  param(
      [string]$TargetFolder = "$env:USERPROFILEDesktopNightSpireDemo"
  )
  
  # 1. Prepare a pasta de demonstração
  New-Item -ItemType Directory -Path $TargetFolder -Force | Out-Null
  
  # 2. Crie um arquivo vítima dummy
  $victimPath = Join-Path $TargetFolder "victim_document.txt"
  "This is a sample document that will be 'encrypted'." | Set-Content -Path $victimPath -Encoding UTF8
  
  # 3. "Criptografia" XOR simples (para propósitos de demonstração apenas)
  $key = 0x5A
  $bytes = [System.IO.File]::ReadAllBytes($victimPath)
  for ($i = 0; $i -lt $bytes.Length; $i++) {
      $bytes[$i] = $bytes[$i] -bxor $key
  }
  $encPath = Join-Path $TargetFolder "victim_document.nspire"
  [System.IO.File]::WriteAllBytes($encPath, $bytes)
  
  # 4. Remove o texto simples original
  Remove-Item -Path $victimPath -Force
  
  # 5. Deixe a nota de resgate (um dos dois nomes que a regra detecta)
  $notePath = Join-Path $TargetFolder "_nightspire_readme.txt"
  @"
  Your files have been encrypted by NightSpire ransomware.
  To restore your data, send 2 BTC to the address below.
  "@ | Set-Content -Path $notePath -Encoding UTF8
  
  Write-Host "Simulação completa. Arquivos criados:"
  Write-Host " - $encPath"
  Write-Host " - $notePath"

• Comandos de Limpeza: Remova todos os artefatos após verificação.

  # Remova os artefatos de simulação NightSpire
  $demoFolder = "$env:USERPROFILEDesktopNightSpireDemo"
  if (Test-Path $demoFolder) {
      Remove-Item -Path $demoFolder -Recurse -Force
      Write-Host "Pasta de demonstração removida."
  } else {
      Write-Host "Nenhum artefato de demonstração encontrado."
  }