O que é o ransomware Cicada?

Cicada (também conhecido como Cicada3301) é um ransomware sofisticado escrito em Rust que já fez mais de 20 vítimas desde sua descoberta em junho de 2024.

Por que o ransomware é chamado de Cicada?

Os criminosos por trás do Cicada parecem tê-lo nomeado em referência aos enigmas misteriosos Cicada 3301 postados na internet entre 2012 e 2014, aparentemente para recrutar indivíduos altamente inteligentes.

Claro, não há motivo para acreditar que o ransomware tenha alguma relação com os enigmas enigmáticos que surgiram uma década antes, exceto pelo nome.

Justo. Que tipo de empresas estão sendo atingidas pelo Cicada?

De acordo com uma postagem de blog de pesquisadores de segurança na Morphisec, pelo menos 21 empresas, predominantemente na América do Norte e Reino Unido, foram atingidas pelo Cicada desde 18 de junho de 2024.

A maioria das organizações afetadas foram pequenas e médias empresas (18), com as três restantes descritas como grandes empresas. As vítimas foram registradas em diversos setores da indústria, incluindo manufatura/industrial, saúde, varejo e hospitalidade.

As organizações atingidas pelo ransomware Cicada são recebidas por uma mensagem informando que os atacantes baixaram seus dados importantes e que os arquivos na rede da empresa foram criptografados.

Uma mensagem adicional diz que o grupo está preparado para fornecer “prova de que os dados foram roubados” e irá excluir todas as informações roubadas e “ajudá-lo a reconstruir sua infraestrutura e prevenir ataques semelhantes no futuro” se um pagamento em criptomoeda for feito.

E imagino que eles vão publicar os dados se você não pagar?

Sim, o grupo Cicada afirma que se o resgate não for pago a tempo, os dados roubados serão publicados em seu blog. Mas eles também dizem que os dados serão enviados “para todas as autoridades reguladoras de seu país, bem como para seus clientes, parceiros e competidores”.

Isso é uma ameaça desagradável. Sabemos quem está por trás do Cicada?

Embora não saibamos as identidades dos responsáveis, os pesquisadores de segurança dizem que existem semelhanças marcantes entre o Cicada e o ransomware ALPHV BlackCat ALPHV – que também é escrito em Rust.

Embora não haja prova definitiva, as semelhanças entre Cicada e BlackCat, incluindo o uso de Rusy, técnicas de evasão e timing, sugerem uma possível conexão.

Você mencionou Rust algumas vezes. O que é isso?

Rust é uma linguagem de programação que se tornou popular entre os desenvolvedores de ransomware nos últimos anos. Grupos de ransomware como BlackCat e Hive têm usado Rust para criar variantes de seus malwares – em parte porque torna a engenharia reversa mais complicada e devido às dificuldades que alguns sistemas de detecção de malware têm em detectar de forma confiável ransomware baseado em Rust por meio de análise estática.

Eu pensei que as autoridades tivessem tomado medidas para interromper o ransomware ALPHV BlackCat?

Bem lembrado. Em dezembro de 2013, o Departamento de Justiça dos EUA anunciou que tinha interrompido as operações da gangue de ransomware e apreendido chaves de descriptografia para ajudar as vítimas a desbloquear seus dados sem pagar resgate.

No entanto, essa vitória foi de curta duração. ALPHV BlackCat ressurgiu, ameaçou retaliação contra países que auxiliaram na operação, e avisou explicitamente que iria atacar hospitais no futuro.

Eles não parecem ser um grupo agradável.

É um eufemismo.

O que posso fazer para reduzir o risco de ameaças de ransomware, como Cicada, atacarem minha organização?

Mantenha seu software de segurança atualizado. Eduque seus funcionários sobre e-mails de phishing e outras técnicas de engenharia social. Implemente procedimentos robustos de backup e recuperação. Monitore seu ambiente em busca de atividades suspeitas. Considere empregar serviços de caça a ameaças para identificar e mitigar ameaças de forma proativa.

Outras melhores práticas incluem criar senhas fortes e únicas e manter o software atualizado. Também é aconselhável relatar ataques de ransomware ao CISA, ao escritório local do FBI ou ao escritório do Serviço Secreto.