Buran Ransomware continua o legado destrutivo de seu predecessor VegaLocker

O ransomware Buran começou a avançar em maio de 2019. A infecção por malware é uma ameaça Ransomware como serviço, ou RaaS. Aproveitar as ameaças RaaS é uma maneira bastante comum de os cibercriminosos ganharem dinheiro. A maneira mais simples de explicar esse processo é entender que um ataque RaaS faz parte de um modelo baseado em assinatura que permite que até mesmo os ciberataques menos qualificados iniciem uma ameaça de ransomware na Web. Também não é um esquema novo e promissor. Está disponível online há algum tempo. Você pode até encontrar uma variedade de pacotes RaaS no mercado, que eliminam completamente a necessidade de codificar malware.

É por isso que é um serviço perfeito para pessoas que desejam iniciar uma infecção maliciosa e causar estragos on-line, mas não têm o conhecimento técnico para fazê-lo. O modelo permite que qualquer pessoa se torne 'afiliada' de um pacote RaaS. O processo envolve afiliados que distribuem o ransomware para vítimas inocentes e, os criadores do ransomware obtêm uma parte dos lucros da extorsão a seguir. Outras ameaças RaaS notórias incluem nomes populares como REVil, GandCrab, Phobos. A lista de tais ameaças é bastante extensa, incluindo o antecessor de Buran, conhecido como VegaLocker ransomware.

Todo o sistema de afiliados-RaaS funciona com base em uma colaboração. É um sistema de confiança entre o autor do código de malware e a pessoa que usa esse código para liberá-lo para vítimas inocentes. A pessoa que criou o código malicioso recebe uma comissão da receita obtida com os ataques de ransomware . A maioria das ameaças RaaS cobra entre 30% a 40%. Buran exige apenas 25%, o que prejudica bastante os preços de seus concorrentes. Além disso, os criadores de Buran estão abertos a negociações. Existe o potencial de diminuir ainda mais o valor da comissão, tornando a idéia de alavancar Buran ainda mais atraente para os cibercriminosos.

O ransomware Buran ainda tem anúncios! Eles anunciam que cada afiliado em potencial consegue fazer um acordo personalizado com o criador do código de malware. O ransomware foi anunciado em um popular fórum russo, na tentativa de atrair atenção adicional. A mensagem é a seguinte:

Como se lê acima, o anúncio afirma que Buran "instalou proteção contra o lançamento no segmento da CEI". Caso você não esteja familiarizado, a CEI é a Comunidade de Estados Independentes, fundamentalmente uma confederação de países que já fizeram parte do grupo. União Soviética. Os países incluídos na confederação são Armênia, Bielorrússia, Cazaquistão, Quirguistão, Moldávia, Rússia, Tajiquistão, Turquemenistão, Ucrânia e Uzbequistão. A exclusão do possível ataque de Buran também pode ser uma pista de que seus criadores pertencem a um dos países listados.

Os pesquisadores realizaram verificações completas para verificar a declaração de exclusão dos dez países da confederação. Apenas três foram confirmados como sendo verdadeiramente a salvo das garras de Buran. Assim que o ransomware desliza para o seu sistema, ele executa uma verificação - tenta descobrir onde sua máquina está registrada. E, se for revelado que está registrado na Bielorrússia, Rússia ou Ucrânia, Buran sai e não tem efeito aparente.

Um exagero da parte de Buran é sua afirmação: "Trabalho correto em todos os sistemas operacionais, desde o Windows XP, Server 2003 até o mais recente". Apesar dessas alegações de "inclusão", os pesquisadores provaram que isso é enganoso. No entanto, o Windows XP parece estar imune a ataques de Buran.

A evolução do Buran Ransomware

Você não pode falar sobre o ransomware Buran sem mencionar a ameaça Jumper (Jamper) e a ameaça VegaLocker. O ransomware Buran é uma evolução dos dois anteriores. O ransomware VegaLocker foi descoberto em fevereiro de 2019, Jumper - em março de 2019. E, como afirmado, o ransomware Buran surgiu em maio de 2019. Essas três infecções fazem parte do que é conhecido como 'família de malware'. Um é o original, que abriu caminho para os outros dois serem criados e atormentar os usuários da web.

Os ransomwares VegaLocker, Jumper e Buran estão vinculados a muitas semelhanças. Sabe-se que todas as três ameaças modificam o Registro - elas criam várias chaves do registro na tentativa de travar no seu PC e dificultam a remoção. As ameaças também criam e armazenam arquivos em pastas temporárias, da mesma maneira. Eles compartilham o mesmo código base, que é modificado a cada evolução da ameaça. Os autores de malware modificam seu código de malware para torná-lo melhor em seu trabalho (invadindo seu sistema e causando estragos da maneira mais eficiente possível). Eles estão tentando girar em torno de programas antivírus e evitar a detecção nas mãos de pesquisadores de segurança. Essa é a razão mais provável pela qual o VegaLocker teve tantas revisões quanto ele. Buran é apenas a reiteração mais recente do código.

O ransomware Buran pode verificar unidades locais e caminhos de rede. Ele pode criptografar arquivos sem alterar as extensões , além de remover pontos de recuperação, limpar logs e excluir o catálogo de backup. Buran também pode se auto-excluir, se houver necessidade de se esconder para evitar a detecção.

Pesquisadores de malware descobriram duas versões do Buran ransomware flutuando na Web, que afetam ativamente os usuários de computador. Ambos são escritos em Delphi, o que torna a engenharia reversa um processo bastante complicado. Eles permanecem bastante semelhantes, mas compartilham algumas diferenças importantes. Por um lado, o Buran atualizado tem dois novos recursos atribuídos à sua disposição. Seus criadores introduziram dois novos processos - processo de exclusão de cópias de sombra; e exclusão do catálogo de backup. O ransomware Buran parece suportar melhorias de seus criadores a cada poucos meses. É justo dizer que novas variantes do ransomware, também semelhantes ao VegaLocker ransomware, não podem ser excluídas como uma opção. Além das atualizações, Buran pode até sofrer outra alteração de marca, se receber muita pressão de especialistas em segurança.

Estratégia de invasão do Buran Ransomware - Como ele acaba no seu sistema

O ransomware Buran é entregue no seu PC através do Rig Exploit Kit. Ele usa a vulnerabilidade RCE do Microsoft Internet Explorer VBScript Engine Engine (CVE-2018-8174) para explorar máquinas para implantação. Quando a exploração é um sucesso, ela lança uma série de comandos que baixam o Buran no seu sistema.

Quando o kit de exploração Rig descarta o executável Buran no seu PC, é executada imediatamente. O ransomware se certifica de se copiar para o caminho do arquivo% APPDATA% \ microsoft \ windows \ ctfmon.exe e é iniciado. Ele continua com a criptografia, mas não tem como alvo todos os arquivos da sua máquina. Em vez disso, exclui determinadas extensões da criptografia. Eles são os seguintes: .cmd, .com, .cpl, .dll, .msc, .msp, .pif, .scr, .sys, .log, .exe, .buran. Também exclui determinadas pastas e arquivos.

Pastas excluídas:

Arquivos excluídos:

O Rig Exploit Kit não é o único método de invasão usado por Buran. Existem também os truques comuns - freeware, campanhas de spam por email, links, sites ou torrents corrompidos. Buran também foi visto usando o método de anexo de arquivo IQY. Quando abertos, esses anexos do Microsoft Excel Web Query executam um comando remoto. Esse comando continua com a instalação do ransomware na máquina. Caso você não tenha certeza do que são os arquivos IQY, eles são documentos do Excel Web Query. Quando você abre esse documento, ele tenta importar dados para uma planilha usando fontes externas. Seja sempre cauteloso e cauteloso ao fazê-lo. A diligência impede que você invoque infecções involuntariamente no seu PC. No final, ter cuidado pode economizar uma tonelada de problemas e o agravamento da possibilidade de restaurar o sistema devido à perda de dados.

Empresas alemãs são vítimas de ataques ao Buran Ransomware

Em outubro de 2019, surgiram relatos de que inúmeras organizações alemãs se tornaram alvos de uma campanha de distribuição para Buran. Eles foram vítimas de uma campanha de spam que usava uma isca eFax, além de um documento malicioso do Word. A nota de resgate foi traduzida para alemão para acomodar o local.

O email de spam recebido por essas organizações, usado para espalhar o ransomware inicialmente, continha links para uma página PHP. Essa página, em seguida, exibia os documentos maliciosos do Word, que, depois, baixavam a ameaça Buran. Esse uso de hiperlinks, em vez de anexos, indica que as pessoas que iniciaram a campanha maliciosa tentaram evitar a detecção por verificadores de malware (os verificadores geralmente são configurados para bloquear emails de spam).

A segmentação específica das empresas alemãs é apenas um exemplo que adiciona evidências à idéia de que Buran não é uma infecção distribuída de maneira hiper segmentada. É adaptado às necessidades e desejos dos afiliados por trás de cada campanha. O malware é usado de uma maneira que ganhou o nome 'malware de commodity'. Isso significa apenas que seu desenvolvimento não depende de um alvo específico. Os alvos não o moldam, mas Buran o molda para se ajustar aos alvos.

O que esperar de um ataque ao Buran Ransomware

Depois que o Buran ransomware inicia seu ataque ao seu PC, há algumas coisas que você pode esperar que aconteça. O ransomware lista uma lista de arquivos e pastas na lista negra. Há um objetivo em suas ações - a infecção quer garantir que ele possa executar o que seus criadores esperam, sem interromper sua funcionalidade. Antes de ser reconhecido como uma ameaça, Buran prioriza a criptografia das letras e pastas da unidade.

Assim que o ransomware Buran entra no seu sistema, ele usa algoritmos de criptografia fortes para bloquear seus dados. Torna os arquivos direcionados inacessíveis. Fotos, documentos, arquivos, vídeos. Seus arquivos são renomeados. O ransomware anexa seu ID exclusivo à parte de trás de cada arquivo e você descobre que seus arquivos têm vários números anexados recentemente. Um exemplo seria o nome do arquivo 'sample.jpg' se transformando em 'sample.jpg.48E7EE9F-3B50-B177-0614-DF09178EE722.'

Exemplo de arquivos renomeados após o Buran ransomware os criptografar.

Quando termina o processo de criptografia, Buran deixa para você a nota de resgate. É um arquivo chamado '' !!! TODOS OS SEUS ARQUIVOS SÃO CRIPTRADOS !!! .TXT. '' Você pode descobri-lo em cada pasta que contém os arquivos bloqueados, bem como na área de trabalho. Existem algumas notas de resgate relatadas pelas vítimas do ataque, e elas apresentam pequenas variações entre elas.

Exemplo dos desvios entre as duas notas de resgate de Buran.

Conteúdo do texto de uma nota de resgate de Buran:

A nota afirma que, a menos que você pague, seus arquivos permanecerão perdidos para você. Isso porque Buran cria uma chave de descriptografia exclusiva para cada vítima e a armazena em servidores remotos, onde você, vítima, não pode acessá-la. Buran faz o seu melhor para apoiá-lo em um canto com uma opção restante - conformidade. Supostamente, depois de pagar o resgate, você receberá a chave necessária para descriptografar tudo. O problema é que, com a maioria, se não todos, o ransomware prova ser um engodo e nunca pode abrir mão dos arquivos . A infecção enche seus ouvidos com o que você quer ouvir e espera que você se apaixone por ela. Certifique-se de que não!

O valor exato do resgate não está especificado, mas presume-se que seja em torno de US $ 500 e US $ 1500, que devem ser pagos em algum tipo de moeda digital (Bitcoin, Monero, Ethereum e assim por diante). Apesar das promessas de Buran, o pagamento será inútil. Você está lidando com golpistas - cibercriminosos maliciosos, que atacam sua ingenuidade na esperança de ganhar dinheiro rapidamente. Não seja vítima da armadilha que eles colocam para você. Não seja enganado no pagamento. O único refúgio que você pode ter é um backup de sistema de seus arquivos e recursos antimalware específicos para eliminar a ameaça, em um esforço para salvar e recuperar o máximo de dados acessíveis possível.