• Com base nas práticas ilegais de hackers, cada vez mais especialistas em segurança colaboram com as autoridades policiais para fornecer ferramentas gratuitas de descriptografia.
  • Especialistas em descriptografia de ransomware desenvolvem ferramentas de várias maneiras: engenharia reversa de erros, cooperação com a polícia e coleta de chaves de criptografia publicamente disponíveis.

A era do hacking desenfreado

Os hackers usamransomwarepara perseguir todos os setores e exigir o máximo de dinheiro possível para acessar os arquivos das vítimas. Este é um negócio lucrativo. Nos primeiros seis meses de 2023, gangues de ransomware extorquiram suas vítimas em449 milhões de dólares.
No entanto, cada vez mais especialistas em segurança estão colaborando com as autoridades policiais para fornecer ferramentas gratuitas de descriptografia.

Leia também:Hackers nunca parecem satisfeitos com roubo de criptomoedas!

Várias soluções comuns

Existem várias maneiras principais pelas quais os especialistas em descriptografia de ransomware desenvolvem ferramentas: engenharia reversa de erros, cooperação com a polícia e coleta de chaves de criptografia publicamente disponíveis. A duração desse processo depende da complexidade do código, mas geralmente requer informações sobre o arquivo criptografado, a versão não criptografada do arquivo e as informações do servidor fornecidas pela equipe de hacking.

“Ter apenas o arquivo de saída do arquivo criptografado geralmente é inútil. Você precisa da amostra em si, do arquivo executável”, disse Jakub Kroustek, chefe de pesquisa de malware da empresa de antivírus Avast. Não é fácil, mas quando funciona, traz benefícios para as vítimas afetadas.

Especialistas em descriptografia de ransomware usam seus conhecimentos em desenvolvimento de software e criptografia para obter as chaves do ransomware e, a partir delas, desenvolver uma ferramenta de descriptografia, segundo Kroustek. Processos de criptografia mais avançados podem exigir um ataque de força bruta ou uma estimativa fundamentada com base nas informações disponíveis. Às vezes, os hackers usam geradores de números pseudoaleatórios para criar chaves. Um gerador de números aleatórios genuíno seria aleatório, mas isso significa que não é facilmente previsível.

Como explica van der Wiel, um Pseudo-RNG pode usar um padrão existente para parecer aleatório, embora não seja – por exemplo, o padrão pode ser baseado no momento de sua criação. Se os pesquisadores conhecerem uma parte dele, podem tentar diferentes valores de tempo até deduzir a chave.

Para obter as chaves, no entanto, muitas vezes é necessária a cooperação com as autoridades policiais para obter mais informações sobre como um grupo de hackers opera. Se os pesquisadores conseguirem determinar o endereço IP do hacker, eles podem pedir à polícia local que apreenda o servidor e faça um dump da memória do conteúdo do servidor. Ou, se os hackers usarem servidores proxy para ocultar sua localização, a polícia pode usar ferramentas de análise de tráfego como o NetFlow para determinar para onde o tráfego flui e extrair informações, segundo Vanderwiel.

A Convenção de Budapeste sobre Crimes Cibernéticos torna possíveis medidas transfronteiriças, pois permite que a polícia solicite com urgência imagens de servidores em outro país enquanto aguarda uma solicitação oficial.

Leia também:674 milhões de dólares em criptomoedas recuperados de 2,6 bilhões roubados

Cooperação com a Justiça

Trabalhou com as autoridades policiais para ajudar a Cisco Talos a criar uma ferramenta de descriptografia para o ransomware Babuk Tortilla. Esta versão do ransomware visa setores de saúde, manufatura e infraestrutura nacional, criptografa os dispositivos das vítimas e exclui backups valiosos. A Avast desenvolveu um descriptografador universal para Babuk, mas a cepa Tortilla se mostrou difícil de decifrar. A polícia holandesa e a Cisco Talos colaboraram para prender os responsáveis pelo vírus e, com isso, obtiveram o descriptografador Tortilla.

Em geral, os especialistas não podem revelar muitas informações sobre o processo sem dar vantagens às gangues de ransomware. Se eles expuserem erros comuns, os hackers podem usá-los para simplesmente melhorar a próxima tentativa de ransomware. Se os pesquisadores revelarem em quais arquivos criptografados estão trabalhando, a gangue saberá que estão em seu encalço. A melhor maneira de evitar o exposto acima é ser proativo.