O mais recente ataque de ransomware-as-a-service deixa o conhecido retalhista, Kmart, com interrupções de serviço e um Active Directory comprometido.
Na sequência da «retirada» do ransomware Maze no mês passado, muitos dos seus afiliados passaram a aderir ao novo ransomware no mercado, o Egregor. Com o nome inspirado num termo ocultista que significa a energia ou força coletiva de um grupo de indivíduos (o que é apropriado, tendo em conta o modelo de afiliados do ransomware), o Egregor segue as pisadas do Maze, recorrendo à encriptação, ao roubo de dados e à extorsão como meios para garantir o pagamento bem-sucedido do resgate.
De acordo com o relatório de ataque publicado no Bleeping Computer, a nota de resgate confirma que o domínio do Active Directory da Kmart foi comprometido no âmbito do ataque. Embora não tenham sido fornecidos detalhes específicos, podemos fazer algumas suposições fundamentadas com base em ataques semelhantes anteriores, nos quais o Maze, o Ryuk e Save the Queen comprometeram e utilizaram o Active Directory para propagar a carga útil do ransomware ao maior número possível de sistemas. Cada uma destas variantes obteve acesso elevado ao Active Directory e efetuou alterações maliciosas específicas, o que significa que, em algum momento, pelo menos uma conta com direitos administrativos sobre parte ou a totalidade do Active Directory foi comprometida, e uma parte do Active Directory acabou por ficar sob o controlo de um agente maliciosoe inseguro.
Este facto é preocupante sob vários pontos de vista:
1. O Active Directory não deveria ter sido vulnerável – Todos sabemos que o Active Directory continua a ser o principal repositório central de identidades para uma parte significativa das organizações atuais – mesmo aquelas que adotam uma estratégia híbrida de identidades. O facto de o «domínio» ter sido comprometido também implica que o Active Directory continua a ser um elemento-chave da rede da Kmart. O Active Directory é frequentemente o eixo central nos ataques de ransomware que se propagam rapidamente pela rede. Infelizmente, assim que o Active Directory é comprometido, abre-se praticamente um caminho livre para todos os sistemas ligados no ambiente. Como o Active Directory é tão intensamente explorado e, ao mesmo tempo, constitui a espinha dorsal da organização, requer proteção adicional. No mínimo, estamos a falar de monitorização e alertas em caso de alterações. Idealmente, deveria também existir um mecanismo que protegesse as alterações a contas específicas com privilégios elevados, grupos e outros objetos, recorrendo a aprovações de fluxo de trabalho e/ou reversões automatizadas.
2. A Kmart teve sorte – De acordo com todos os relatórios, parece que nem todas as operações da Kmart foram interrompidas. Isto significa provavelmente que o Active Directory foi comprometido, mas não ficou indisponível, permitindo que todos os serviços dependentes do domínio em toda a floresta continuassem a funcionar. No entanto, houve casos em que as organizações não tiveram tanta sorte, como o ataque NotPetya de 2018 à Maersk , que deixou literalmente todosos controladoresde domínioinoperacionais, com exceção de um servidor offline que encontraram num escritório remoto no Gana. É negligente assumir que um ciberataque nunca irá derrubar o Active Directory; ter a capacidade de o recuperar facilmente – e, mais importante ainda, rapidamente – é fundamental.
3. Restaurar o Active Directory a um estado reconhecidamente seguro provavelmente não foi fácil – Em muitas organizações, as alterações maliciosas ao Active Directory podem passar passam despercebidas, mas são certamente permitidas durante um período de tempo suficientemente longo para que o impacto malicioso se faça sentir. Se não sabe o que foi alterado no Active Directory, como pode saber o que precisa de ser restaurado ou revertido para corrigir quaisquer alterações maliciosas? Foram criadas novas contas de utilizador falsas? Alterações à composição do grupo «Domain Admins»? E quanto a modificações nas Políticas de Grupo para conceder direitos de «Atuar como o Sistema Operativo» aos controladores de domínio ou a todas as estações de trabalho? A lista é interminável. Em suma, sem proteger o Active Directory, não é possível corrigir facilmente as alterações efetuadas, o que exige um esforço de recuperação que provavelmente não será tão simples como «recuperar o domínio ao estado de ontem ao meio-dia».
Egregor é um jogador relativamente novo na cenae esperamos ver o seu nome em mais cabeçalhos nos próximos meses. Já se sabe que se o Active Directory cair, o mesmo acontece com o resto da sua rede. Assim, o último ataque do ransomware Egregor ao Kmart deve ser um lembrete de que o Active Directory requer uma atenção especial na sua estratégia de cibersegurança. Proteja-o ferozmente, mantendo os agentes de ameaças afastados. Em segundo lugar, parta do princípio de que, mesmo que tenha implementado uma estratégia de defesa em profundidade apenas para o Active Directory, um dia haverá um ataque queiráultrapassar as defesas, exigindo que seja capaz de recuperar o Active Directory para o seu estado anterior ao ataque - quer seja uma única modificação, toda a floresta ou algo intermédio.
