A nova análise técnica da família de ransomware Everest revela uma contradição estranha no centro de uma de suas recentes alegações de ataque. Apesar de se gabar de roubar um terabyte de dados de uma organização vítima, a amostra real de malware usada na intrusão não contém código capaz de exfiltrar qualquer coisa.
O que mudou agora
O grupo Everest tem sido ativo desde pelo menos dezembro de 2020 como uma operação de extorsão dupla, combinando criptografia de arquivos com roubo de dados sensíveis antes da implantação. O grupo é conhecido por atingir uma ampla gama de setores, incluindo agências governamentais, provedores de saúde e operadoras de telecomunicações na América do Norte, Europa e Ásia.
A análise foi realizada pela AttackIQ, que examinou uma amostra viva do criptografador Everest e constatou que seu comportamento não corresponde às próprias alegações do grupo sobre o incidente. O binário analisado sugere que o suposto roubo de dados, se ocorreu, aconteceu em uma etapa anterior da intrusão usando ferramentas separadas, e não através da própria carga útil do ransomware.
Comportamento e vetores de ataque
O criptografador em si é um executável .NET protegido com ConfuserEx, uma ferramenta que remove marcas d'água identificáveis e adiciona camadas anti-tampering antes que a análise comece. Uma vez iniciado, ele executa três threads de fundo contínuas que terminam ferramentas de engenharia reversa, desativam produtos de segurança e matam processos pesados de memória, tudo enquanto preparam silenciosamente o sistema para criptografia.
Uma das características mais incomuns sinalizadas pela AttackIQ é o uso do ransomware de broadcasts Wake on LAN, enviados para forçar máquinas em sono na rede a ligar para que também possam ser criptografadas. Isso não é algo visto tipicamente na maioria das famílias de ransomware e aponta para um operador focado em maximizar o número de dispositivos alcançáveis em um ambiente alvo.
Detalhes técnicos e criptografia
A amostra se passa como um aplicativo .NET Framework sob o nome de arquivo hlntqyun.exe, compilado pouco antes do incidente rastreado no site de vazamento do Everest. Sua configuração criptográfica é intencionalmente enganosa, declarando um tamanho de chave mais forte do que o que realmente é usado em tempo de execução, dependendo finalmente de AES 128 para dados de arquivo e RSA 1024 para proteger as chaves de criptografia, ambas mais fracas do que o código sugere inicialmente.
A execução segue um padrão claro começando com uma verificação de mutex e uma rotina de geocerca que evita sistemas configurados com idiomas ou configurações regionais da Comunidade de Estados Independentes. A partir daí, o malware desativa o Acesso Controlado a Pastas do Windows Defender, exclui cópias de sombra, limpa arquivos relacionados a backup e até remove o Raccine, uma ferramenta anti-ransomware de código aberto, do registro inteiramente.
Indicadores de comprometimento e mitigação
As equipes de segurança devem expandir a cobertura de emulação para incluir broadcasts Wake on LAN, enumeração de unidades mapeadas e descoberta de conexões de rede ativas, já que esses comportamentos refletem o movimento genuíno do atacante em vez de condições de teste isoladas. O relatório também recomenda validar capacidades de detecção e prevenção especificamente contra a rotina de remoção do Raccine e o mecanismo de autoproteção baseado em DACL que o ransomware usa para resistir a tentativas de término.
Indicadores de comprometimento (IoCs)
- SHA-256 Hash: 1df92bf4c967297d8a39fc3f619a56702ee96d5cf9196b8e1d5b3654746c6514
- Nome do Arquivo: hlntqyun.exe
- Nome do Arquivo: EVERESTRANSOMWARE.txt
- Extensão de Arquivo: .everest
- Mutex: Global\7efc73f7-fda1-42d1-a4c5-8f1670bd08a5
O que os CISOs devem fazer imediatamente
Considerando o histórico do Everest de atingir setores críticos e seu conjunto de ferramentas em evolução, as organizações são encorajadas a tratar os comportamentos deste criptografador como uma referência para testar sua própria resiliência contra ameaças semelhantes de extorsão dupla. A validação contínua contra uma cadeia de ataque realista, em vez de indicadores isolados, dá aos defensores uma imagem mais clara de onde os controles existentes falham.