A Versão Mais Recente do Ryuk Ransomware Poupa Pastas do Linux

Em 13 de dezembro, os cibercriminosos usaram uma versão do Ryuk Ransomware no ataque à cidade de Nova Orleans. O ataque resultou no desligamento dos servidores da cidade, em extensos esforços de quarentena e o prefeito declarou estado de emergência. A cidade de Nova Orleans foi adicionada à lista de mais de cem governos e agências federais, estaduais e municipais que foram vítimas de ataques de ransomware nos EUA em 2019. O Ryuk Ransomware, em particular, foi usado em centenas de ataques em entidades privadas e governamentais com sucesso variável.

A versão do Ryuk Ransomware que infectou as redes da cidade de Nova Orleans parece ser relativamente nova. O pesquisador de segurança Vitali Kremez descobriu uma nova característica dessa iteração do ransomware - ele não criptografa deliberadamente as pastas relacionadas ao sistema * nix.

Aqui está uma lista das pastas não incluídas na lista negra das versões anteriores:

• bin
• bota
• Boot
• dev
• etc
• initrd
• lib
• corre
• sbin
• sys
• vmlinuz
• var

O Ryuk Ransomware não possui uma versão dedicada aos sistemas Linux. É provável que o motivo da inclusão das pastas * nix na lista negra evite interferir nas distribuições Linux instaladas no Windows 10. O Windows Subsystem para Linux do Windows 10 possibilita a execução de distribuições Linux em um ambiente Windows.

Por fim, é provável que o objetivo dessa mudança seja um aumento nos resultados de pagamento. Versões anteriores, que criptografavam pastas * nix, poderiam inutilizar certos sistemas, impedindo, se não impedindo, a vítima de pagar o resgate. Isso também se traduziria em menos trabalho para os criminosos, caso precisassem descriptografar os dados da vítima.

A cidade de Nova Orleans nunca divulgou nenhuma exigência de resgate. Eles também declararam que a perda de dados do ataque cibernético era "muito mínima" e que nenhum resgate havia sido pago. Não houve atualizações nas investigações do incidente. Informações sobre quanto custa o processo de recuperação também não estão disponíveis no momento. Se os cibercriminosos veem esse ataque como um sucesso ou um fracasso, é improvável que seja o último que ouvimos sobre o Ryuk Ransomware. Os criminosos o usaram em um grande número de ataques no período relativamente curto desde a primeira aparição do Ryuk em agosto de 2018. Com o Ryuk e outras ameaças de ransomware, cada vez mais popular e evoluindo junto com os atacantes, eles os usam para atingir organizações e agências específicas, a importância de desenvolver e manter soluções e contingências sólidas de segurança cibernética não pode ser exagerada.