Allan Liska e Timothy Gallo Novatec
Authorized Portuguese translation of the English edition of Ransomware, ISBN 9781491967881 2017 Allan Liska, Timothy Gallo. This translation is published and sold by permission of O'Reilly Media, Inc., the owner of all rights to publish and sell the same. Tradução em português autorizada da edição em inglês da obra Ransomware, ISBN 9781491967881 2017 Allan Liska, Timothy Gallo. Esta tradução é publicada e vendida com a permissão da O'Reilly Media, Inc., detentora de todos os direitos para publicação e venda desta obra. Novatec Editora Ltda. 2017. Todos os direitos reservados e protegidos pela Lei 9.610 de 19/02/1998. É proibida a reprodução desta obra, mesmo parcial, por qualquer processo, sem prévia autorização, por escrito, do autor e da Editora. Editor: Rubens Prates PY20170315 Tradução: Lúcia A. Kinoshita Revisão gramatical: Priscila A. Yoshimatsu Editoração eletrônica: Carolina Kuwabata ISBN: 978-85-7522-551-6 Histórico de impressões: Março/2017 Primeira edição Novatec Editora Ltda. Rua Luís Antônio dos Santos 110 02460-000 São Paulo, SP Brasil Tel.: +55 11 2959-6529 Email: novatec@novatec.com.br Site: www.novatec.com.br Twitter: twitter.com/novateceditora Facebook: facebook.com/novatec LinkedIn: linkedin.com/in/novatec
Sumário Prefácio... 11 Parte I Compreendendo o ransomware...15 Capítulo 1 Introdução ao ransomware... 16 O passado inconstante do ransomware...16 Anatomia de um ataque de ransomware... 18 Implantação... 19 Instalação... 21 Comando e controle... 24 Destruição... 26 Extorsão... 26 A fase de destruição... 27 Criptografia dos arquivos... 27 Bloqueio do sistema ou do navegador...31 O rápido crescimento dos ransomwares... 34 Outros fatores... 35 Aplicações enganosas, AVs falsos e cryptoransomwares modernos... 37 Resumo... 39 Capítulo 2 Prós e contras do pagamento do resgate... 41 Oh... 42 Saber quais dados realmente têm backup... 43 Saber qual família de ransomware infectou o sistema... 44 Quando o resgate deve ser pago... 46 Ransomware e as exigências de divulgação... 49 PCI DSS e ransomware... 50 HIPPA... 52 Resumo... 53 7
8 Ransomware Capítulo 3 Atores por trás do ransomware e seus alvos... 55 Organizações criminosas... 57 TeslaCrypt... 58 CryptXXX... 59 CryptoWall... 60 Locky... 61 Ranscam... 63 Quem são os alvos dos grupos de ransomware?... 64 Alvos em evolução... 65 Entrada de grupos de hacking sofisticados... 66 Ransomware as a Service (RaaS)... 69 Diferentes modelos de RaaS... 70 O RaaS desestrutura as ferramentas de segurança... 73 Resumo... 75 Parte II Táticas de defesa...76 Capítulo 4 Protegendo as estações de trabalho e os servidores... 77 Vetores de ataque para ransomwares... 78 Deixando o sistema mais robusto e restringindo o acesso... 81 É hora de se livrar do Flash... 82 Gerenciamento de ativos, vulnerabilidades, scanning e patching... 83 Interrompendo a sequência de ataque... 86 Procurando o executável após um ataque... 100 Protegendo servidores voltados ao público...101 Gerando alertas e reagindo rapidamente...103 Honeyfiles e honeydirectories...106 Resumo...108 Capítulo 5 Protegendo a força de trabalho... 110 Conhecendo os riscos e os alvos...111 Aprendendo a evitar comprometimentos...115 Scanning de anexos de email...116 Monitorando os sites...117 Testando e ensinando os usuários...121 Treinamento para conscientização de segurança...121 Usuários de phishing... 123 Após o ransomware... 125 Resumo...127
Sumário 9 Capítulo 6 Dados de inteligência contra ameaças e ransomware... 128 Compreendendo os métodos de entrega mais recentes... 129 Usando os indicadores de rede mais recentes...132 Detectando os indicadores comportamentais mais recentes... 136 Análise de comportamento de usuário...137 Resumo... 138 Parte III Famílias de ransomware... 139 Capítulo 7 Cerber... 141 Quem desenvolveu o Cerber?...143 O processo de criptografia...144 Cerber e BITS...147 Protegendo-se contra o Cerber...147 Resumo... 150 Capítulo 8 Locky... 152 Quem desenvolveu o Locky?...153 O processo de criptografia...155 Compreendendo o DGA do Locky... 157 As variantes Zepto e Bart...158 Entrega via DLL...159 Protegendo-se contra o Locky...160 Bloqueie os spams...161 Desabilite macros em documentos Microsoft Office...163 Não permita que arquivos JavaScript executem localmente...165 Impedindo a chamada inicial do Locky...167 Engenharia reversa no DGA...171 Resumo...173 Capítulo 9 CryptXXX... 175 Quem desenvolveu o CryptXXX?...176 Proteção sofisticada nos endpoints versus sandboxing...177 Crypt + XXX...179 O processo de criptografia...181 Protegendo-se contra o CryptXXX...184 Kits de exploit...185 Firewalls de DNS e IDS...187
10 Ransomware Interrompendo o CryptXXX...193 Resumo... 196 Capítulo 10 Outras famílias de ransomware... 197 CryptoWall...197 Quem desenvolveu o CryptoWall?... 199 O processo de criptografia... 200 PowerWare... 202 O processo de criptografia... 203 Protegendo-se contra o PowerWare... 204 Ransom32... 206 KeRanger/KeyRanger... 209 Hidden Tear...212 TeslaCrypt...213 Ransomware para dispositivos móveis...214 Ransomwares que visam dispositivos médicos...216 Dispositivos médicos...218 Resumo... 220 Sobre os autores... 222 Colofão... 222