//‘Bad Rabbit’: Vírus de Atualização falsa do Flash Player
ransomware

‘Bad Rabbit’: Vírus de Atualização falsa do Flash Player

Diversas organizações, principalmente no leste europeu, tiveram suas redes contaminadas por uma nova praga digital batizada “Bad Rabbit”. A motivação do ataque ainda não está clara, mas diversos detalhes sobre o vírus e o seu funcionamento são conhecidos.O QUE SE SABE SOBRE O BAD RABBIT

O vírus chega por meio de um download falso do Flash Player

 

Os responsáveis pelo ataque invadiram diversos sites para incluir neles um código que leva alguns dos visitantes a um download falso do Adobe Flash Player. A fabricante de antivírus Eset divulgou uma lista de 23 sites que se sabe que foram adulterados para contaminar os visitantes, mas é possível que outros sites além destes 23 também estejam envolvidos.

A maioria das páginas é da Rússia e da Ucrânia, mas há também um endereço do Japão, um da República Checa, um da Romênia e alguns endereços voltados a internautas da Bulgária.

Nenhuma vulnerabilidade é explorada no navegador do internauta. A vítima deve baixar executar o arquivo oferecido. Também é possível que nem todos os visitantes recebam a janela de download, porque navegador envia algumas informações para um servidor de controle, que pode determinar quem receberá o golpe.

Golpe que espalha o Bad Rabbit com download falso do Flash Player. (Foto: Reprodução/Eset)

Vale observar que os principais navegadores modernos, como o Chrome e o Edge, já incluem o Flash Player e, portanto, nenhum aviso sobre atualização do plug-in será verdadeira. Em outros navegadores, embora a instalação do Flash possa ser necessária, atualizações ela deve ser sempre feita a partir do site da Adobe.


Depois de contaminar o computador, o Bad Rabbit se espalha pela rede

De acordo com a análise da fabricante de antivírus Eset, o Bad Rabbit é capaz de se espalhar para outros computadores da rede usando credenciais de acesso. O vírus traz no código alguns pares de usuários e senhas comuns para tentar acessar as outras máquinas, mas também usa uma ferramenta para roubar a senha de acesso do próprio usuário do computador.

Houve uma especulação de que o vírus poderia utilizar a brecha EternalBlue (a mesma que foi usada pelo WannaCry), mas isso não foi observado.

O código do Bad Rabbit tem semelhanças com o ExPetr/NotPetya

Os especialistas consideram que há bastante semelhança entre o Bad Rabbit e o víru NotPetya, também chamado de ExPetr O NotPetya atacou empresas na Europa, principalmente na Ucrânia, a partir do sistema de atualização automática de um programa ucraniano de contabilidade. O ataque ocorreu em junho.

O Bad Rabbit tem diferenças consideráveis, no entanto. A criptografia do disco rígido é realizada usando um componente do programa legítimo de código aberto DiskCryptor. Também é possível que a criptografia do Bad Rabbit possa sim ser revertida, enquanto o NotPetya – intencionalmente ou não – destruía a chave que permitiria recuperar os dados.

A maioria das vítimas está na Rússia

Segundo a Kaspersky Lab e a Eset, a maioria das vítimas está na Rússia. A Eset aponta que 65% dos sistemas infectados são russos. Também há registro de sistemas infectados na Ucrânia, Turquia e Japão.

Até o momento, não há casos registrados no Brasil.

O Bad Rabbit age como um vírus de resgate

Um vírus de resgate se caracterizada pelo “sequestro” das informações armazenadas no computador e a exigência de um pagamento para que seja recebida uma chave capaz de desbloquear os dados.

O Bad Rabbit se encaixa nessa definição e bloqueia não só os arquivos, como todo o computador. É a principal semelhança dele com os vírus Petya e NotPetya.

O valor de resgate solicitado pelo Bad Rabbit em Bitcoin é de 0,05 BTC, o que atualmente equivale a cerca de R$ 900.

Página de resgate do Bad Rabbit na rede Tor solicitando pagamento de 0,05 Bitcoin. (Foto: Reprodução/Eset)

O nome Bad Rabbit foi dado pelos criminosos

Muitos vírus são batizados com nomes diferentes daqueles que são dados pelos criminosos. Por exemplo, o WannaCry usava o nome de “Wana Decryptor”.

“Bad Rabbit” é exatamente o nome que foi usado pelos criminosos na página de pagamento do resgate.

O QUE AINDA É DÚVIDA SOBRE O BAD RABBIT

1. Não há consenso sobre o ataque ser direcionado
Segundo a Kaspersky Lab, o ataque parece ter sido direcionado contra alvos corporativos.

Já na avaliação da Palo Alto Networks, o ataque não parece ter nenhum alvo específico.

Embora se saiba que a página que distribui o vírus tenha capacidade de “escolher” minimamente os alvos, não se sabe se de fato alguém está excluído de receber o ataque.

2. Os autores do ataque não são conhecidos
Como muitos vírus, não se sabe quem está por trás do Bad Rabbit.

Uma especulação chegou a apontar que o NotPetya seria sido obra do governo russo contra sistemas da Ucrânia. Essa visão ganhou com as acusações feitas por autoridades da Ucrânia de que a Rússia seria responsável pelo ataques que causaram blecautes no país.

Explicações sobre a origem, tanto do Bad Rabbit como do ExPetr/NotPetya, teriam de explicar também a semelhança entre os códigos usados.

3. Apesar de semelhanças, praga pode ser nova
Embora o Bad Rabbit e o NotPetya tenham semelhanças, é possível que a praga seja diferente o bastante para ser considerada um vírus novo.

O método de criptografia usado pelo novo vírus ainda não foi completamente estudado, mas tudo indica que é diferente do vírus anterior. O NotPetya também fazia uso da falha EternalBlue para se espalhar dentro das redes das empresas atacadas, o que o novo vírus também não faz.

Quando o vírus NotPetya foi descoberto, em junho, especialistas inicialmente consideraram que a praga era uma nova versão do vírus Petya. Depois, analistas de virus passaram a considerar que o código tratava-se de uma nova praga por conta das diferenças significativas em relação ao Petya. Da mesma forma, a descoberta de novas diferenças no comportamento do Bad Rabbit pode abrir um vão ainda maior entre ele e o NotPetya.

4. Não há confirmação de que pagar o resgate recupera os arquivos
A maioria dos vírus de resgate evita causar danos ao sistema operacional, já que o pagamento da recompensa costuma ser solicitado em Bitcoin via Tor. Para fazer pagamentos nessas condições, a vítima precisa preferencialmente de um computador funcionando.

O Bad Rabbit, porém, inutiliza o computador. Além disso, ele exige que a vítima digite manualmente um código longo na página de recuperação. Mesmo quem quiser pagar a recompensa terá dificuldade para realizar o processo.

Segundo a Palo Alto Networks, não há relatos até o momento de que o pagamento da recompensa tenha permitido recuperar os arquivos.

Leia mais sobre Segurança


Sou Analista de Sistemas Bacharel em Sistemas da Informação, Certificado MCTS 70-680 / MOS, Trabalho como Administrador de Redes e Servidores Windows e Linux! Minhas atividades favoritas são: Caminhar, Fazer Trilhas, Natureza, Insetos e claro ler sobre Tecnologia.

Deixe um comentário