Novo ransomware está direcionado para PCs com Linux e Windows

Os principais alvos do Tycoon são organizações nos setores de educação e software.

O ransomware Tycoon está perseguindo os sistemas Windows e Linux no que parece ser uma campanha direcionada e parece ser o trabalho de criminosos cibernéticos altamente seletivos. O malware também usa uma técnica de implantação incomum, que ajuda-o a ficar oculto em redes comprometidas.

Novo ransomware está direcionado para PCs com Linux e Windows

O Tycoon foi descoberto e detalhado por pesquisadores da BlackBerry que trabalham com analistas de segurança da KPMG. Ele é uma forma incomum de ransomware, porque é escrito em Java, implantado como Java Runtime Environment trojanizado e compilado em um arquivo de imagem Java (Jimage) para ocultar as intenções maliciosas.

Os invasores estão mudando para linguagens de programação incomuns e formatos de dados obscuros. Aqui, os invasores não precisavam obscurecer seu código, mas foram bem-sucedidos em atingir seus objetivos.

O fato de a campanha ainda estar em andamento sugere que aqueles que estão por trás dela estão obtendo sucesso extorquindo os pagamentos das vítimas.

O Tycoon criptografa arquivos de rede

No entanto, o primeiro estágio dos ataques do Tycoon ransomware é menos incomum, com a invasão inicial por meio de servidores RDP inseguros voltados para a internet. Esse é um vetor de ataque comum para campanhas de malware e geralmente explora servidores com senhas fracas ou comprometidas anteriormente.

Após a execução, o ransomware criptografa a rede com arquivos criptografados pelo Tycoon, com extensões como .redrum, .grinch e .thanos. Além disso, os atacantes exigem um resgate em troca da chave de descriptografia. Os atacantes pedem pagamento em bitcoin e afirmam que o preço depende da rapidez com que a vítima entra em contato por e-mail.

O fato de a campanha ainda estar em andamento sugere que aqueles que estão por trás dela estão obtendo sucesso extorquindo os pagamentos das vítimas.

Portanto, as organizações devem garantir que:

• como o RDP é um meio comum de comprometimento, as únicas portas voltadas para a internet devem ser as que exigem isso como uma necessidade absoluta;
• as contas que precisam acessar essas portas não usem credenciais padrão ou senhas fracas, que podem ser facilmente adivinhadas;
• sejam aplicados patches de segurança quando lançados;
• backup regularmente de sua rede (backup confiável) para que, se o pior acontecer, a rede possa ser restaurada sem ceder às demandas de criminosos cibernéticos.