Melhores práticas de prevenção de ransomware

Como Prevenir Infecções por Ransomware

O que é Ransomware e Como Funciona

Ransomware. Essa única palavra está em primeiro plano na mente de tantos gestores de TI ao redor do mundo, e por um bom motivo. Ransomware continua sendo uma das ameaças cibernéticas mais desafiadoras hoje. Somente em 2023, quase um quarto dos ataques envolveu ransomware.

Ransomware é um tipo de software malicioso que criptografa os arquivos sensíveis ou sistemas críticos de uma vítima, tornando-os inacessíveis e, assim, interrompendo serviços e operações comerciais. Existem inúmeros tipos de cepas de ransomware, com novas variantes surgindo constantemente.

O objetivo principal dos operadores de ransomware é coagir a vítima a pagar um resgate, muitas vezes em criptomoeda difícil de rastrear, em troca de uma chave de descriptografia que pode restaurar os arquivos ao seu estado original. Mas hoje, esses atores de ameaças frequentemente empregam uma estratégia de extorsão dupla, na qual exfiltram os dados de uma organização antes de criptografá-los. Ameaçar publicar ou vender os dados roubados, a menos que o resgate seja pago, oferece uma alavanca adicional para garantir que eles sejam pagos o resgate mesmo que a vítima consiga restaurar seus arquivos independentemente.

Dada a forte repercussão financeira do ransomware, muitas organizações priorizam a proteção contra ransomware como um objetivo principal.

Principais Alvos de Ataques de Ransomware

O ransomware evoluiu para um modelo de negócio, frequentemente orquestrado por grupos altamente organizados com um foco singular: ganho monetário. Enquanto esses cibercriminosos uma vez visavam indiscriminadamente entidades que variavam de indivíduos a empresas globais, eles se tornaram mais estratégicos: os atacantes frequentemente visam organizações que provavelmente vão render pagamentos rápidos e substanciais. Os setores de manufatura e saúde, juntamente com pequenos municípios governamentais que muitas vezes carecem de pessoal ou recursos adequados para autorecuperação, são alvos comuns desses ataques de ransomware calculados.

Como os Ataques de Ransomware se Desenrolam

Ataques de ransomware raramente ocorrem de uma só vez. Os ataques de ransomware mais eficazes geralmente envolvem um processo de várias etapas que pode durar dias, semanas ou até meses:

• Etapa 1: O ransomware é entregue ao alvo, por exemplo, por meio de um e-mail com um link embutido ou um anexo infectado. A interação com esses elementos baixa o payload malicioso inicial, que estabelece uma conexão com o servidor de comando e controle (C&C) do atacante.
• Etapa 2: Os atacantes usam o link para introduzir ferramentas adicionais para executar o ataque. Eles realizam reconhecimento para inspecionar a rede da vítima, identificar dados de alto valor e avaliar as medidas de segurança. Durante esta etapa, eles podem copiar informações sensíveis para um local externo para serem usadas como alavanca secundária no processo de extorsão.
• Etapa 3: Esta fase marca o início da criptografia. Os atacantes podem inicialmente visar os sistemas de backup da vítima, com o objetivo de comprometer a capacidade de restauração dos dados. Uma vez que o processo de criptografia esteja completo, uma exigência de resgate é emitida, detalhando as instruções de pagamento. Negociações podem ocorrer, potencialmente levando a um pagamento de resgate reduzido.

Pagar um Resgate vs usar Ferramentas para Prevenir uma Infecção por Ransomware

Decidir se deve pagar um resgate é um dilema desafiador. Pagar pode parecer uma solução rápida, mas não há garantia de que os atacantes fornecerão uma chave de descriptografia. Além disso, há evidências que sugerem que pagar o resgate pode incentivar ataques futuros. Como resultado, agências como o FBI aconselham contra o pagamento.

Optar por não pagar, no entanto, expõe a organização a custos extensivos e complexidades de remediação. Recuperar-se de um ataque de ransomware pode levar dias ou semanas, o que pode impactar a receita e levar a danos duradouros na reputação da empresa e na confiança do cliente. De fato, as despesas associadas ao tempo de inatividade e aos esforços de recuperação podem ultrapassar a demanda de resgate.

Esta realidade destaca a importância de investir em medidas de segurança robustas para detectar e neutralizar ataques de ransomware a tempo de minimizar danos.

Como Prevenir Ataques de Ransomware: Melhores Práticas

Não há como prevenir ataques de ransomware e não existe uma tecnologia milagrosa para proteção contra ransomware. No entanto, seguir estas melhores práticas de prevenção de ransomware ajudará a minimizar o risco de infecções por ransomware e limitar o dano que um ataque bem-sucedido poderia causar:

• Evite conceder aos usuários direitos administrativos em suas máquinas, pois quaisquer arquivos maliciosos que eles baixem herdarão essas permissões elevadas. Se um usuário precisar de acesso elevado, crie uma conta de usuário separada com os privilégios específicos necessários.
• Desenvolva um plano de resposta a incidentes minucioso para rapidamente neutralizar ataques de ransomware em seus estágios iniciais. A revisão regular e o ensaio do plano de resposta a incidentes são essenciais para manter sua eficácia e a preparação da equipe.
• Aprimore a conscientização sobre cibersegurança com treinamentos regulares para todos os funcionários. Em particular, ensine-os a identificar anexos de e-mails suspeitos e links na web, já que ataques de phishing são um método primário para distribuição de ransomware. Também é importante avaliar o domínio deles sobre o material com e-mails de teste.
• Certifique-se de que seu software antivírus, Endpoint Protection e outras soluções de segurança, juntamente com seus bancos de dados, estejam sempre atualizados.
• Mantenha todos os sistemas operacionais e aplicações totalmente atualizados e em dia para que vulnerabilidades conhecidas não possam ser exploradas. Teste sempre novas atualizações de software em um laboratório antes de aplicá-las em produção.
• Desative o protocolo de comunicação de rede SMB v1 em todos os servidores e estações de trabalho, pois isso ajudará a prevenir a propagação de variantes comuns de ransomware como WannaCry pela sua rede. A captura de tela abaixo mostra o SMB v1 desativado no Windows Server.
• Feche todas as portas desnecessárias em seus firewalls. Em particular, certifique-se de que a porta 3389, usada para o Protocolo de Área de Trabalho Remota (RDP), esteja fechada, pois é um alvo comum de exploração por hackers.
• Implemente a segmentação de rede. Dividir uma rede maior em segmentos menores e isolados limita a propagação de ransomware se um segmento for infectado. Redes segmentadas também facilitam o monitoramento mais fácil e a detecção mais rápida de atividades suspeitas.
• Mantenha a sua limpa e siga um modelo rigoroso de menor privilégio. Como o ransomware só pode aceder aos ficheiros aos quais a conta da vítima tem acesso, esta estratégia limitará a quantidade de dados que podem ser encriptados.
• Restrinja dispositivos de propriedade do usuário a uma rede de convidados. Esta rede deve direcionar todo o tráfego diretamente para a internet, bloqueando o acesso à rede interna, protegendo os recursos locais.
• Bloqueie extensões conhecidas de ransomware usando o File Server Resource Manager.
• Incorpore estratégias de sandboxing e honeypots ao seu programa de segurança. Sandboxing envolve o uso de um ambiente seguro e isolado para executar e analisar programas suspeitos sem arriscar a rede principal ou o sistema, enquanto Honeypots são sistemas ou recursos isca configurados para atrair e analisar ataques cibernéticos.
• Utilize uma solução de prevenção de perda de dados (DLP) para proteger seus dados locais e na nuvem.
• Considere implementar a gestão baseada em inteligência de ameaças, que oferece insights sobre ameaças emergentes e padrões de ataque. Esse conhecimento permite que as organizações fortaleçam proativamente suas defesas, personalizem suas estratégias de segurança e respondam rapidamente a ataques de ransomware, reduzindo significativamente o risco de intrusões bem-sucedidas e violações de dados.

Melhores práticas para usar o Group Policy para impedir Ransomware

A Política de Grupo oferece uma variedade de configurações disponíveis para ajudar a minimizar o risco de uma infecção por ransomware. Algumas delas incluem o seguinte:

• Exiba as extensões de arquivo. Os atacantes às vezes disfarçam softwares maliciosos com extensões de arquivo duplas. Por exemplo, um arquivo chamado "invoice.pdf.exe" pode parecer "invoice.pdf" se as extensões estiverem ocultas, levando os usuários a pensar que é um PDF inofensivo. Ao exibir as extensões de arquivo, os usuários têm mais chances de identificar arquivos suspeitos com extensões executáveis (.exe, .vbs, .scr, etc.) que se passam por tipos de arquivos seguros. Você pode criar um objeto de Política de Grupo (GPO) usando as Preferências de Política de Grupo para mostrar as extensões de arquivo nas estações de trabalho dos usuários, para que eles possam ver as extensões duplas. Um exemplo é mostrado abaixo.
• Desative o AutoPlay e o Autorun em todas as estações de trabalho. Esta importante configuração de Política de Grupo impede a execução automática de softwares potencialmente maliciosos provenientes de mídias externas, como drives USB. Você pode usar Modelos Administrativos de Política de Grupo para desativar o AutoPlay para drives externos conforme mostrado abaixo.
• Estabeleça uma política segura de senhas e bloqueio de contas. Evitar que os atacantes assumam o controle das contas de utilizador reduz a probabilidade de uma infeção por ransomware. Nos domínios do Active Directory, isto pode ser alcançado através da política de domínio predefinida, que aplica normas como o comprimento mínimo da senha, a idade mínima da senha e os requisitos de complexidade.
• Bloqueie o uso de drives USB removíveis. Esta configuração de Política de Grupo não só reduzirá a propagação de infecções por malware, mas também ajudará a prevenir a transferência não autorizada de dados.
• Use o AppLocker para criar listas de permissões e bloqueios. Essas listas permitem que você controle quais softwares podem ser usados nas máquinas da empresa e bloqueiem a execução de aplicações não autorizadas.
• Ative o Windows Defender SmartScreen. Isso bloqueia o acesso a sites maliciosos conhecidos, o que reduz o risco de um usuário desencadear inadvertidamente uma infecção por ransomware ao cair em um e-mail de phishing.

Melhores Práticas para Detecção e Resposta a Ataques de Ransomware

Além de medidas de prevenção, você também precisa de estratégias de detecção e resposta. Quanto mais rápido você puder detectar um ataque de ransomware, mais rápido poderá contê-lo e mitigá-lo para minimizar os danos ao negócio. As seguintes melhores práticas podem ajudar:
Implemente um sistema de detecção e prevenção de intrusões que realiza monitoramento e análise do tráfego de rede.

• Monitore seus servidores de arquivos para a modificação de um grande número de arquivos com várias extensões de arquivo em um curto período de tempo. Se tal atividade for observada, retire prontamente o computador fonte da rede.
• Mantenha um inventário completo e atualizado de todos os seus servidores, estações de trabalho, pontos de acesso, dispositivos de cibersegurança e outros equipamentos empresariais, incluindo seus endereços de rede, para que você possa rapidamente encontrar a fonte de um ataque e isolá-lo.
• Se você detectar um processo desconhecido ou não autorizado em um servidor ou dispositivo de usuário, desconecte imediatamente essa máquina da rede ou desabilite-a. Em seguida, conduza uma investigação detalhada para entender e mitigar quaisquer riscos potenciais.
• Tenha cuidado com notificações do sistema exigindo dinheiro para descriptografar seus arquivos — alguns podem ser casos falsos em que nenhuma criptografia ocorreu.
• Mesmo que você já tenha confirmado uma infecção por ransomware, não pague aos criminosos. Você pode não recuperar seus dados, e é provável que eles continuem atacando para fazer você pagar novamente.

Melhores práticas para garantir que você possa se recuperar de um ataque de ransomware

Para garantir que você possa se recuperar de um ataque de ransomware sem recorrer à opção arriscada de pagar aos atacantes, siga estas melhores práticas:

• Faça backups regulares de todos os seus dados sensíveis, sistemas e configurações principais. Certifique-se de manter várias iterações de backup e armazená-las fora do alcance de ransomwares (offline ou na nuvem). Ter backups confiáveis ajudará você a restaurar seus arquivos críticos rapidamente.
• Ative o Histórico de Arquivos do Windows para que os usuários possam restaurar arquivos salvos antes da infecção por ransomware.
• Tente determinar a cepa específica de ransomware que está afetando seu sistema. Se for uma variante mais antiga, a comunidade de TI pode ter recursos e informações para ajudar nos seus esforços de recuperação.
• Esteja ciente de que ataques de ransomware bem-sucedidos não criptografam todos os seus arquivos. Avalie cuidadosamente quais segmentos da sua rede foram comprometidos e quais foram poupados.
• Procure soluções especializadas de descriptografia anti-ransomware que podem restaurar seus dados, incluindo a lista de ferramentas gratuitas mantida pela organização No More Ransom.
• Se você sofrer um ataque, após restaurar seus dados e operações, analise o incidente para identificar e remediar lacunas em suas defesas para ajudar a prevenir futuras infecções.

Obtenha um Guia Gratuito de Prevenção de Ransomware

Qualquer pessoa experiente em mitigar ataques de ransomware vai atestar que toda ajuda é bem-vinda. Como diz o ditado, "melhor prevenir do que remediar." Conhecer as melhores práticas para evitar ransomware e como interromper o ransomware é significativamente menos dispendioso do que se recuperar dele.

A Netwrix oferece um guia complementar de prevenção de ransomware elaborado por especialistas experientes no combate a essa ameaça. Mesmo que você se sinta preparado, este guia pode fornecer estratégias que você talvez não tenha considerado anteriormente. Baixe-o hoje como uma medida extra na proteção proativa contra ransomware.