O que está acontecendo?

Pesquisadores de segurança alertaram que um novo grupo de ransomware deu uma reviravolta incomum no método tradicional de extorquir dinheiro de suas vítimas corporativas.

Então, o que é diferente desta vez?

Enquanto muitos ataques de ransomware veem os dados de uma empresa sendo exfiltrados por invasores, e a ameaça de que os dados roubados serão vendidos para outros cibercriminosos ou divulgados ao público, o grupo Volcano Demon…

Desculpe, o que? Volcano Demon?

Sim, esse é o nome do grupo de ransomware. Posso continuar?

Claro. Continue. O que eles estão fazendo?

Como eu estava dizendo… o grupo Volcano Demon não parece se dar ao trabalho de criar um site na dark web para publicar dados vazados. Em vez disso, realiza suas negociações com suas vítimas via telefone.

Uau. Então eu poderia realmente acabar falando com os atacantes se trabalhasse em uma empresa que fosse atingida por um ataque de ransomware?

Sim, e é muito mais provável que um membro da equipe fora de sua equipe de cibersegurança se encontre na difícil posição de agir como negociador, ao contrário de uma demanda que chega por e-mail ou um bilhete de resgate deixado pelos cibercriminosos em sua rede comprometida.

Por que um grupo de ransomware faria isso?

Eu entendo. Como técnicas de negociação de resgate vão, parece extremamente antigo ter uma conversa por telefone. Você poderia esperar que alguém extorquindo um resgate nos anos 1970 fizesse suas demandas em uma ligação telefônica, mas não tanto na era digital, onde a tecnologia pode ajudar a esconder a verdadeira identidade e localização de um vilão.

Pesquisadores de segurança da Halcyon, que relataram ter visto pelo menos dois ataques bem-sucedidos perpetrados pelo Volcano Demon na última semana, dizem que as chamadas podem ser ameaçadoras e vêm de números de identificação de chamadas não identificados.

Então, os dados da empresa são criptografados pelo ransomware?

Sim, o grupo de ransomware Volcano Demon criptografa arquivos na rede da sua empresa com o LukaLocker, alterando as extensões de arquivo para .nba.

Então eles querem dinheiro por uma chave de descriptografia. Mas eles também roubam os dados?

Receio que sim. Antes que os dados sejam criptografados no ataque, eles são exfiltrados das organizações. Isso significa que as empresas podem ser ameaçadas com a distribuição de seus dados se se recusarem a pagar.

Como uma gangue de ransomware ligando para você muda as coisas?

É fácil imaginar como uma ligação pode ser mais intimidante do que uma mensagem de e-mail. Relatos da mídia indicam que as chamadas exigindo o resgate podem ser “frequentes” e que os atacantes têm um “forte sotaque”. Neste estágio, não foi possível localizar o país de origem deles.

Em uma situação tradicional de ransomware, geralmente é bastante simples para a vítima decidir quem vai lidar com os atacantes e potencialmente negociar quanto pagar de resgate. No entanto, uma ligação de um atacante pode ocorrer a qualquer hora do dia ou da noite e pode ser para um dos muitos números de telefone possíveis dentro da sua organização.

Funcionários que estão trabalhando fora da equipe de cibersegurança podem se ver conversando inesperadamente com um atacante. Lidar com conversas desse tipo já é complicado o suficiente para qualquer empresa; algumas até trarão negociadores profissionais. Mas quando pode ser qualquer pessoa na folha de pagamento que recebe a ligação do extorsionista, é muito mais difícil de controlar.

Então, você disse que as ligações telefônicas podem ser intimidantes e ameaçadoras?

Sim. Os cibercriminosos não terão escrúpulos em fazer ameaças para garantir seu pagamento. E o bilhete de resgate deixado pelos atacantes também não vai direto ao ponto:

” Sua rede corporativa foi criptografada. E isso não é tudo – estudamos e baixamos muitos de seus dados. Se você ignorar este incidente, faremos com que seus dados confidenciais estejam amplamente disponíveis ao público. Garantiremos que seus clientes e parceiros saibam de tudo, e os ataques continuarão. Alguns dos dados serão vendidos a golpistas que atacarão seus clientes e funcionários.”

Mas as autoridades não serão capazes de descobrir de onde a ligação telefonica veio?

Embora as chamadas até agora tenham vindo de números de identificação do chamador não identificados, há esperança de que o uso de chamadas telefônicas pelos atacantes, em vez de aproveitar o anonimato da dark web, eventualmente funcione a favor da polícia.