Ataque de ransomware às 3h da manhã – Interrompa os serviços e bloqueie Exclua cópias de sombra antes de criptografar

O ransomware é uma ameaça universal para as empresas, tendo como alvo qualquer pessoa que manipule dados confidenciais quando o potencial de lucro é elevado.

Um novo ransomware chamado 3AM surgiu e é usado de maneira limitada. Equipe de caçadores de ameaças da Symantec testemunhado em um único ataque, substituindo o LockBit quando bloqueado.

3AM é um ransomware escrito por Rust completamente inexplorado que encerra serviços, criptografa arquivos e tenta excluir cópias VSS. Contudo, além disso, as suas ligações a grupos de crimes cibernéticos permanecem incertas.

Visão geral do ataque

As ações iniciais do ator da ameaça incluíram a execução de ‘gpresult’ para extrair configurações de política, implantar componentes do Cobalt Strike e tentar escalar privilégios com PsExec.

Os atacantes realizaram reconhecimento com os seguintes comandos para oportunidades de movimento lateral:-

Eles estabeleceram persistência adicionando um novo usuário e exfiltrando arquivos usando Wput para seu servidor FTP. Os invasores inicialmente tentaram o LockBit, mas depois que ele foi bloqueado, eles passaram para as 3h.

O uso do 3AM foi parcialmente bem-sucedido, pois infectou apenas três das máquinas da organização, com duas delas bloqueando-o com sucesso.

Documento

Bilhete de resgate

3AM recebe o nome da extensão de arquivo ‘.trêsamtime’ que adiciona aos arquivos criptografados, conforme referenciado na nota de resgate.

O pesquisador de ameaças Ygor Maximo identificou recentemente um site vazado pertencente ao grupo de ransomware 3AM. O site lista atualmente seis vítimas que foram vítimas das notórias atividades do grupo. Esta descoberta destaca a ameaça cada vez maior representada pelos ataques de ransomware e serve como um lembrete da importância de medidas robustas de segurança cibernética para proteger empresas e indivíduos.

Este ransomware baseado em Rust reconhece os seguintes parâmetros de linha de comando, pois é um executável de 64 bits: –

• “-k”
• “-p”
• “-h”
• “-m”
• “-s”

O malware tenta executar os seguintes comandos após sua execução e tem como alvo principalmente o software de segurança e backup: –

• “netsh.exe” firewall advfirewall definir regra “grupo =” descoberta de rede ”” nova ativação = Sim
• “wbadmin.exe” exclua systemstatebackup -keepVersions:0 -quieto
• “wbadmin.exe” EXCLUIR SYSTEMSTATEBACKUP
• “wbadmin.exe” EXCLUIR SYSTEMSTATEBACKUP -deleteOldest
• “bcdedit.exe” /set {default} recuperação habilitada Não
• “bcdedit.exe” /set {default} política de status de inicialização ignoreallfailures
• “wmic.exe” SHADOWCOPY DELETE /nointeractive
• “cmd.exe” /c wevtutil cl segurança
• “cmd.exe” /c wevtutil cl sistema
• “cmd.exe” /c aplicativo wevtutil cl
• parada “net” /y vmcomp
• parada “net” /y vmwp
• parada “net” /y veeam
• parada “líquida” /y Voltar
• parada “líquida” /y xchange
• “net” parar /y backup
• parada “net” /y Backup
• parada “net” /y acronis
• Parada “net” /y AcronisAgent
• Parada “líquida” /y AcrSch2Svc
• parada “net” /y sql
• Parada “líquida” /y Empresa
• Parada “líquida” /y Veeam
• parada “net” /y VeeamTransportSvc
• parada “net” /y VeeamNFSSvc
• Parada “líquida” /y AcrSch
• parada “líquida” /y bedbg
• parada “net” /y DCAgent
• Parada “líquida” /y EPSecurity
• “net” stop /y EPUpdate
• Parada “net” /y Borracha
• parada “net” /y EsgShKernel
• Parada “net” /y FA_Scheduler
• parada “net” /y IISAdmin
• Parada “líquida” /y IMAP4
• parada “líquida” /y MBAM
• Parada “líquida” /y Ponto final
• Parada “líquida” /y Afee
• Parada “líquida” /y McShield
• tarefa “net” stop /y
• parada “líquida” /y mfemms
• parada “net” /y mfevtp
• Parada “líquida” /y mms
• Parada “líquida” /y MsDts
• Parada “líquida” /y Troca
• parada “líquida” /y ntrt
• Parada “líquida” /y PDVF
• Parada “líquida” /y POP3
• Parada “líquida” /y Relatório
• parada “líquida” /y RESvc
• parada “net” /y Monitor
• Parada “líquida” /y Smcinst
• parada “net” /y SmcService
• parada “net” /y SMTP
• Parada “líquida” /y SNAC
• parada “líquida” /y swi_
• Parada “líquida” /y CCSF
• parada “líquida” /y ccEvtMgr
• parada “net” /y ccSetMgr
• Parada “líquida” /y TrueKey
• “net” parar /y tmlisten
• Parada “net” /y UIODetect
• Parada “líquida” /y W3S
• Parada “líquida” /y WRSVC
• parada “net” /y NetMsmq
• parada “líquida” /y ekrn
• parada “net” /y EhttpSrv
• Parada “líquida” /y ESHASRV
• Parada “líquida” /y AVP
• parada “net” /y klnagent
• parada “net” /y wbengine
• Parada “líquida” /y KAVF
• parada “net” /y mfefire
• parada “líquida” /y svc$
• parada “líquida” /y memtas
• parada “net” /y mepocs
• Parada “líquida” /y GxVss
• Parada “líquida” /y GxCVD
• Parada “líquida” /y GxBlr
• Parada “líquida” /y GxFWD
• Parada “líquida” /y GxCIMgr
• parada “net” /y BackupExecVSSProvider
• Parada “net” /y BackupExecManagementService
• Parada “net” /y BackupExecJobEngine
• Parada “net” /y BackupExecDiveciMediaService
• Parada “net” /y BackupExecAgentBrowser
• parada “net” /y BackupExecAgentAccelerator
• Parada “líquida” /y vss
• parada “net” /y BacupExecRPCService
• parada “net” /y CASAD2WebSvc
• parada “net” /y CAARCUpdateSvc
• Parada “net” /y YooBackup
• Parada “net” /y YooIT

A varredura do ransomware criptografa os arquivos correspondentes, exclui os originais e coloca uma nota de resgate ‘RECOVER-FILES.txt’ em cada pasta. Além disso, os arquivos criptografados possuem um marcador ‘0x666’ seguido por dados de ransomware.

Os afiliados de ransomware agem de forma mais independente, com alguns implantando várias variedades de ransomware em um único ataque. Embora muitas novas famílias de ransomware desapareçam rapidamente, 3 O uso da AM como alternativa afiliada do LockBit sugere uma possível relevância futura para os invasores.

COIs