Ransomware de Amigos

Proteger dispositivos contra malware é mais importante do que nunca, já que as ameaças cibernéticas modernas podem criptografar dados valiosos, interromper operações comerciais e expor informações confidenciais. O ransomware, em particular, continua sendo uma das formas mais prejudiciais de malware, pois combina criptografia de dados com táticas de extorsão projetadas para pressionar as vítimas a pagar grandes somas de dinheiro. Um exemplo notável é o ransomware Friends, uma ameaça sofisticada que visa uma ampla gama de tipos de arquivos, além de usar o roubo de dados para aumentar a probabilidade de pagamento.

Ransomware Friends: Uma Ameaça Cibernética de Dupla Extorsão

O ransomware Friends é um programa malicioso descoberto por pesquisadores de segurança cibernética que criptografa arquivos em sistemas comprometidos e exige um resgate em troca da chave de descriptografia. Além da criptografia de arquivos, os operadores por trás dessa ameaça alegam roubar informações confidenciais das vítimas antes de bloquear seus dados. Essa tática, conhecida como dupla extorsão, permite que os atacantes ameacem tanto a perda de dados quanto a exposição pública de informações sensíveis.

Uma vez executado em um sistema, o ransomware Friends verifica diversos tipos de arquivos e os criptografa. Durante esse processo, ele adiciona a extensão '.friends124' aos arquivos afetados. Por exemplo, um arquivo chamado '1.png' é transformado em '1.png.friends124', enquanto '2.pdf' se torna '2.pdf.friends124'. Essa extensão serve como um indicador claro de que os arquivos foram processados pelo malware e não são mais acessíveis por meios normais.

Processo de criptografia e pedidos de resgate

Após concluir a rotina de criptografia, o ransomware cria um arquivo chamado 'RANSOM_NOTE.html' contendo instruções para a vítima. A nota informa aos usuários que seus arquivos foram criptografados e fornece informações de contato para iniciar as negociações de resgate. As vítimas são instruídas a se comunicar com os atacantes através dos endereços de e-mail 'recovery1@salamati.vip' e 'recovery1@amniyat.xyz'. Um método alternativo de contato através da rede Tor também é mencionado.

A nota de resgate alega que dados confidenciais e pessoais foram coletados e armazenados em um servidor privado controlado pelos atacantes. Segundo a mensagem, essas informações serão publicadas ou vendidas a terceiros caso a vítima se recuse a pagar o resgate. Para convencer as vítimas de que a recuperação dos arquivos é possível, os criminosos oferecem a descriptografia gratuita de dois ou três arquivos não essenciais. A nota ainda alerta que o valor do resgate aumentará caso não haja contato em 72 horas e aconselha as vítimas a criarem uma conta no ProtonMail antes de se comunicarem.

Por que pagar o resgate é uma decisão arriscada

As vítimas frequentemente consideram pagar um resgate quando arquivos críticos se tornam inacessíveis. No entanto, pagar aos cibercriminosos não garante a recuperação bem-sucedida dos dados. Numerosas operações de ransomware coletaram pagamentos sem fornecer ferramentas de descriptografia funcionais ou entregaram utilitários que não conseguiram restaurar todos os dados afetados.

Mesmo quando os atacantes fornecem uma ferramenta de descriptografia, o pagamento financia atividades criminosas e incentiva futuros ataques contra outros indivíduos e organizações. Por esses motivos, profissionais de segurança cibernética desaconselham veementemente o pagamento de resgates. Na maioria dos incidentes, os arquivos criptografados não podem ser restaurados sem a chave de descriptografia dos atacantes, a menos que o ransomware contenha falhas de implementação significativas que pesquisadores possam explorar para desenvolver um descriptografador gratuito.

Recuperação e Resposta a Incidentes

A prioridade imediata após uma infecção é remover o ransomware Friends do sistema afetado. Eliminar o malware ajuda a evitar que outros arquivos sejam criptografados e reduz o risco de novas atividades maliciosas. No entanto, a remoção do malware por si só não restaura os dados já criptografados.

O método de recuperação mais confiável envolve a restauração de arquivos a partir de backups criados antes da infecção. Os backups devem ser armazenados separadamente do sistema principal para que permaneçam intactos durante um ataque. Se os backups estiverem conectados à mesma rede ou permanecerem continuamente acessíveis, o ransomware poderá tentar criptografá-los também, deixando as vítimas sem opção de recuperação.

Como o ransomware Friends se espalha

Assim como muitas famílias de ransomware, o Friends Ransomware depende de múltiplos canais de distribuição para alcançar potenciais vítimas. E-mails de phishing continuam sendo um dos métodos de entrega mais eficazes. Essas mensagens geralmente contêm anexos ou links maliciosos que iniciam o download de malware quando abertos. Os atacantes costumam usar arquivos de documentos contendo macros maliciosas, arquivos compactados, arquivos executáveis, PDFs e payloads baseados em JavaScript.

Outros vetores de infecção incluem trojans que instalam ransomware silenciosamente, mecanismos falsos de atualização de software, anúncios maliciosos, sites comprometidos e downloads obtidos de fontes não confiáveis. Portais de software gratuito, redes de compartilhamento de arquivos ponto a ponto e outras plataformas de distribuição não oficiais frequentemente hospedam arquivos maliciosos disfarçados de software legítimo. Unidades USB infectadas também podem facilitar a disseminação de ransomware entre sistemas.

Um cenário de infecção particularmente comum envolve cracks de software e ferramentas de ativação pirateadas. Os cibercriminosos frequentemente disfarçam malware como alternativas gratuitas a softwares pagos, explorando usuários dispostos a contornar os canais de distribuição oficiais. Uma vez executados, esses programas aparentemente inofensivos podem instalar ransomware sem aviso prévio.

Fortalecendo as defesas contra ransomware

A proteção eficaz contra ransomware exige uma estratégia de segurança em camadas que combine medidas técnicas de segurança com comportamentos seguros por parte do usuário. Organizações e indivíduos devem manter softwares de segurança confiáveis, garantir que os sistemas operacionais e aplicativos recebam atualizações regulares e desativar recursos desnecessários que possam ser explorados por invasores. Anexos de e-mail e links de fontes desconhecidas ou inesperadas devem sempre ser tratados com cautela, mesmo quando parecerem legítimos.

Fazer backups regulares dos dados está entre as medidas de segurança mais importantes. Manter várias cópias de segurança em locais separados, como discos rígidos externos offline e soluções de armazenamento remoto seguras, melhora significativamente as chances de recuperação após um ataque. Testes de backup também devem ser realizados periodicamente para confirmar que os dados podem ser restaurados com sucesso quando necessário.

As principais práticas de segurança incluem:

• Mantenha os sistemas operacionais, navegadores e aplicativos totalmente atualizados com os patches de segurança mais recentes.
• Utilize um software de proteção de endpoints confiável com recursos de detecção de ameaças em tempo real.
• Mantenha vários backups, incluindo pelo menos uma cópia offline ou isolada de alguma forma.
• Evite abrir anexos de e-mails não solicitados ou clicar em links suspeitos.
• Baixe softwares somente de fontes oficiais e confiáveis.
• Evite usar software pirata, cracks ou ferramentas de ativação não autorizadas.
• Restrinja os privilégios administrativos sempre que possível.
• Educar os usuários sobre táticas de phishing e ataques de engenharia social.

Avaliação final

O ransomware Friends representa uma séria ameaça à segurança cibernética, combinando criptografia de arquivos com roubo de dados e extorsão. Ao adicionar a extensão '.friends124' aos arquivos, inserir uma nota de resgate intitulada 'RANSOM_NOTE.html' e ameaçar expor informações roubadas, seus operadores tentam maximizar a pressão sobre as vítimas. Embora as opções de recuperação sejam frequentemente limitadas sem backups confiáveis, boas práticas de segurança cibernética, backups regulares, atualizações de software em dia e comportamento cauteloso online podem reduzir significativamente a probabilidade de um ataque de ransomware bem-sucedido e minimizar o impacto caso uma infecção ocorra.