Os pesquisadores de segurança estão rastreando novas atividades de extorsão DDoS pelo grupo de agentes de ameaças Fancy Lazarus. Os ataques têm como alvo principal organizações americanas e globais de uma variedade de setores, incluindo energia, financeiro, seguros, manufatura, serviços públicos e varejo.

O grupo - que anteriormente usava apelidos como Fancy Bear, Lazarus, Lazarus Group e Armada Collective, entre outros - entrou em hiato por cerca de um mês de abril a maio de 2021 após uma campanha de resgate de ataques DDoS contra instituições e organizações financeiras globais que começou em meados de agosto de 2020. "Em cada caso, o ator da ameaça exigiu pagamento de bitcoin ou então um ataque de negação de serviço em pequena escala seria lançado com um ataque mais substancial alguns dias depois", explicaram os pesquisadores da Proofpoint em um postagem no blog. Agora, o grupo ressurgiu com um novo nome e mudanças em suas táticas, técnicas e procedimentos (TTPs).

Mudanças no método de ataque DDoS de Fancy Lazarus

Essas variações indicam o esforço determinado do grupo para evoluir suas atividades, afirmam os pesquisadores. As mudanças são o preço do resgate - reduzido de 10 bitcoin para um preço inicial de 2 bitcoin (provavelmente em reconhecimento do valor flutuante do bitcoin) - e o texto usado nos e-mails enviados aos destinatários.

“Existem três variantes de e-mail enviadas para os mesmos destinatários, transmitindo as mesmas informações, exceto com o corpo do e-mail em texto simples, HTML ou como um anexo de imagem JPG. Esta é provavelmente uma tentativa de evitar detecções ”, escreveram os pesquisadores. Anteriormente, o remetente, às vezes, incluía a pessoa de maior classificação da empresa-alvo, como o nome do CEO. Na campanha mais recente, um formato aleatório de nome e sobrenome é usado e os nomes parecem fictícios, disseram os pesquisadores.

“É interessante que o grupo ainda está voltando e ajustando o e-mail original, potencialmente indicando sua eficácia. Entre agosto de 2020 e agora, porém, eles tentaram textos completamente diferentes nos e-mails ”, acrescentaram os pesquisadores.

Como Fancy Lazarus estrutura os ataques DDoS

Os e-mails começam com um anúncio do nome que o grupo está usando agora e reconhecem que a organização vítima foi especificamente visada. O e-mail incita o alvo a realizar uma pesquisa no Google como prova do “trabalho anterior” do grupo e de vítimas recentes de alto perfil, como a Bolsa de Valores da Nova Zelândia. "Você não quer ser como eles, quer?" o e-mail pergunta.

O e-mail descreve, em detalhes, o processo pelo qual o ataque ocorrerá, informando que a rede do destinatário estará sujeita a um ataque DDoS em sete dias que só pode ser evitado pagando uma taxa de 2 bitcoin no prazo estabelecido. Para provar sua seriedade, os invasores afirmam que começarão um pequeno ataque a “alguns IPS aleatórios” que durará cerca de duas horas. “Não será um ataque pesado e não causará nenhum dano a você”, continua o e-mail.

Quando se trata de um ataque em grande escala, o grupo afirma que não há contra-medida devido ao poder do ataque, que eles afirmam ter um pico de mais de 2 Tbps. “Isso significa que seus sites e outros serviços conectados não estarão disponíveis para todos”, diz o e-mail. “Se você não pagar, o ataque começará e a taxa de parada aumentará para 4 bitcoin e aumentará 1 bitcoin para cada dia após o prazo que passou sem pagamento.”

O crescimento de ataques DDoS de resgate

Em declarações, Sherrod DeGrippo, diretor sênior de pesquisa e detecção de ameaças da Proofpoint, explica que, embora os ataques DDoS de resgate não sejam um desenvolvimento recente, a crescente adoção de criptomoedas está causando um aumento significativo nos ataques DDoS de resgate.

“Mais recentemente, houve um aumento na atividade de resgate de DDoS a partir do ano passado com a atividade proveniente deste grupo. Desde agosto de 2020, quando começamos a rastrear essa atividade, os pesquisadores da Proofpoint viram cerca de 180 clientes de uma infinidade de setores diversos e não relacionados enviarem esses e-mails de extorsão. Cerca de 59 deles foram vistos no primeiro mês. ”

Os ataques Ransom DDoS também estão se tornando cada vez mais eficazes, acrescenta DeGrippo, particularmente contra organizações que não possuem firewalls de aplicativos da web ou provedores de serviços upstream que podem filtrar efetivamente o tráfego DDoS do tráfego legítimo. “Os atores de ameaças estão sempre procurando o meio mais eficiente de conseguir o que desejam, neste caso uma compensação financeira”, acrescenta ela. “Os ataques DDoS tornaram-se cada vez mais fáceis de iniciar e têm uma recompensa potencialmente substancial por consideravelmente menos trabalho do que um ataque de ransomware exigiria. Além disso, ao conduzir esse tipo de ataque, o agente da ameaça contorna as proteções de segurança automatizadas que sinalizariam e bloqueariam o ransomware . ”

Em relação à legitimidade das alegações do grupo de que seu ataque atingirá um pico acima de 2 Tbps, DeGrippo admite que, sem visibilidade total dos ataques, é difícil validar com certeza. No entanto, “com base em relatórios do FBI e grupos de compartilhamento de informações, alguns ataques atingiram aproximadamente 2 Tbps”, diz ela. Também é importante notar, entretanto, que os relatórios do FBI indicaram que muitas empresas afetadas que ultrapassaram o prazo ameaçado não viram nenhuma atividade adicional ou a atividade foi atenuada com sucesso.

Independentemente disso, as organizações devem estar preparadas para tais ataques por meio de mitigações apropriadas em vigor, conclui DeGrippo. “Isso inclui o uso de um serviço de proteção DoS e planos de recuperação de desastres prontos. Boa resposta cai em boa tecnologia e parcerias para ajudar a filtrar o tráfego DDoS quando sob ataque. As organizações devem ter um plano em vigor sobre o que fazer nesses cenários antes que aconteçam.”

O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.