Recuperação de Arquivos Criptografados por Vírus Ransomware

01O que é o ransomware?

O ransomware é um tipo de malware que criptografa dados e arquivos importantes, fazendo com que os donos percam o acesso a eles. O ataque pode atingir um único dispositivo ou se espalhar por toda a rede, criptografando um volume ainda maior de dados. A particularidade do ransomware é que os cibercriminosos, depois de atacar computadores e outros dispositivos, exigem o pagamento de um “resgate” para devolver o acesso aos dados, geralmente em bitcoins ou outras criptomoedas, em transações muito difíceis de rastrear. “Ransom”, em inglês, significa “resgate”, e “ware” aparece em palavras como malware e spyware para designar programas. Ou seja, “ransomware” é um programa malicioso que exige da vítima o pagamento de um resgate para que ela recupere o acesso aos seus dados.

Em casos de ransomware e arquivos criptografados, o atendimento é da Bot Forensics: veja a recuperação de ransomware da Bot Forensics.

Infelizmente, dados do portal Statista mostram que o número anual de ataques de ransomware no mundo é muito elevado:

• 2014: 3,2 milhões
• 2015: 3,8 milhões
• 2016: 638 milhões
• 2017: 184 milhões
• 2018: 204,24 milhões
• 2019: 187,9 milhões
• 2020: 304 milhões
• 2021: 623,3 milhões
• 2022: cerca de 500 milhões

Os números oscilam de um ano para o outro, mas continuam altíssimos: depois do pico de 623,3 milhões de ataques em 2021, em 2022 ainda foram registrados cerca de 500 milhões. Especialistas preveem que a ameaça continue grande, com estimativas de que 76% das organizações poderão sofrer pelo menos um ataque de ransomware por ano.

Mas fica aqui uma informação importante: o FBI não recomenda pagar o resgate em casos de ransomware. O pagamento não garante que o acesso aos dados será restabelecido, além de encorajar os criminosos a procurar mais vítimas e incentivar outros a adotar essa prática ilegal. Por isso, o ideal é buscar a ajuda de especialistas, como a Bot, que tem mais de duas décadas de experiência em recuperação de dados e pode propor a solução mais indicada para recuperar seus dados após um ataque de ransomware.

02Qual o objetivo do ransomware?

Assim como num sequestro, o objetivo do ransomware é fazer as vítimas de reféns. Isso causa uma grande pressão psicológica, e não há nenhuma certeza de que o acesso aos dados será restabelecido. Dados sigilosos valem muito (podem conter informações sobre os clientes de uma empresa, dados bancários, planilhas financeiras e muito mais), o que deixa as vítimas numa posição totalmente desfavorável. O susto do ataque, somado a essa carga emocional, aumenta as chances de a vítima pagar o que foi pedido. E, como a transação é difícil de rastrear, fica mais complicado descobrir quem está por trás do ataque. Em geral, os criminosos não têm tanto interesse nos dados em si: apenas impedem que pessoas e empresas acessem os próprios arquivos para conseguir receber o resgate.

03Como surgiu o ransomware?

O primeiro ataque de ransomware de que se tem notícia foi o “AIDS Trojan”, criado pelo biólogo evolucionista Joseph Popp em 1989. Ele foi distribuído em cerca de 20 mil disquetes, chamados “AIDS Information Introductory Diskette”, enviados aos participantes de uma conferência da OMS sobre a aids. Também conhecido como AIDS Info Disk ou PC Cyborg Trojan, ele substituía o arquivo “AUTOEXEC.BAT” do PC. A partir daí, o malware contava o número de vezes que o computador era ligado e, depois da 90ª inicialização, escondia as pastas e criptografava os nomes de todos os arquivos da unidade “C:”, inutilizando o sistema. Depois da 90ª inicialização, aparecia na tela a seguinte mensagem:

Fonte: https://upload.wikimedia.org/wikipedia/commons/e/ec/AIDS_DOS_Trojan.png

Para 365 inicializações do seu próprio computador, a vítima tinha de pagar US$ 189, enquanto uma “licença vitalícia” custava US$ 378. Por curiosidade: em valores de janeiro de 1989, esses montantes teriam o mesmo poder de compra de US$ 410,48 e US$ 820,97 em fevereiro de 2021, respectivamente. O conceito de ransomware foi evoluindo com o tempo e se tornou ainda mais perigoso com a popularização da internet, e a chegada das criptomoedas dificultou ainda mais o rastreamento dos criminosos.

04Como funciona a infecção do ransomware?

O processo pode ser dividido em três passos. O conceito de criptografia de arquivos por ransomware foi criado por Adam L. Young e Moti Yung, na Universidade Columbia, e apresentado no Simpósio de Segurança e Privacidade do IEEE em 1996. Batizado de extorsão criptoviral, ele foi inspirado no “Abraçador” (Facehugger), a segunda fase do alienígena do filme Alien, de 1979, e consiste no seguinte protocolo entre o criminoso e a vítima:

1. [criminoso → vítima] O criminoso gera um par de chaves e embute a chave pública no malware que vai distribuir.
2. [vítima → criminoso] Para executar a extorsão criptoviral, o malware gera uma chave simétrica aleatória e criptografa os dados da vítima com ela. Em seguida, usa a chave pública para criptografar essa chave simétrica (o que se chama criptografia híbrida). O resultado é um texto cifrado assimétrico, que contém a chave simétrica criptografada, e um texto cifrado simétrico, com os dados da vítima. A chave simétrica e os dados originais são apagados para impedir a recuperação, e a vítima passa a ver uma mensagem com o texto cifrado assimétrico e as instruções para pagar o resgate. A vítima, então, envia o texto cifrado assimétrico e o dinheiro ao criminoso.
3. [criminoso → vítima] O criminoso recebe o pagamento, decifra o texto cifrado assimétrico com a sua chave privada e envia a chave simétrica à vítima, que a usa para decifrar os dados. Assim, o ataque termina.

Essa complexidade mostra como o sequestro de dados por ransomware é bem elaborado. Mas, com a ajuda da Bot, você terá todo o suporte necessário para tentar recuperar o acesso aos seus dados da forma mais segura e econômica possível.

05Quais são os métodos mais comuns para a distribuição de ransomwares?

Uma boa resposta para essa pergunta está nos dados do portal Statista, que mostram os principais métodos e falhas de segurança que levam a infecções por ransomware. Confira:

• E-mails de phishing ou spam: 54%
• Más práticas do usuário ou ingenuidade: 27%
• Falta de treinamento em segurança cibernética: 26%
• Senhas fracas ou falhas no controle de acesso: 21%
• Acesso aberto a RDPs (Remote Desktop Protocol): 20%
• “Clickbaits” (iscas para conseguir cliques): 17%
• Sites maliciosos ou anúncios na internet: 14%
• Credenciais de usuário perdidas ou roubadas: 10%
• Falta de financiamento para soluções de segurança em TI: 8%
• Falta de apoio dos executivos na adoção de soluções de segurança: 8%

06Quais são os tipos de ransomware?

Basicamente, existem dois tipos de ransomware:

Crypto ransomware

Também conhecido como data locker, esse ransomware criptografa os arquivos de um computador ou dispositivo móvel para extorquir dinheiro da vítima. A criptografia embaralha o conteúdo dos arquivos e os torna ilegíveis. O crypto ransomware procura falhas e brechas nos computadores e dispositivos em busca de dados sem backup. É um tipo de malware bem astuto, porque criptografa todos os dados valiosos antes de se revelar à vítima. Geralmente, ele não bloqueia o computador ou o dispositivo inteiro, por isso a vítima ainda consegue usar tudo o que não foi criptografado.

Locker ransomware

Já o locker ransomware trava e inutiliza todo o computador ou dispositivo móvel, e a vítima é pressionada a pagar um resgate para liberar o acesso. Em geral, o sistema bloqueado permite apenas um acesso limitado: partes do teclado podem ficar travadas ou o mouse pode parar de funcionar, o que leva a pessoa a fazer o que o criminoso quer. O locker ransomware não costuma se infiltrar em toda a rede nem atacar diretamente os arquivos. Por isso, com o suporte de uma empresa especializada como a Bot, as chances de encontrar e remover o malware sem pagar o resgate aumentam bastante.

07Lista de ransomware: quais são os mais conhecidos?

Uma pesquisa da Kaspersky com usuários cujos computadores foram alvo de crypto ransomware em 2020 mostrou quais foram as principais variantes. (As marcadas com * são classificações genéricas, em que provavelmente não se confirmou exatamente qual era o ransomware.)

• WannaCry / Trojan-Ransom.Win32.Wanna: 16,56%
• Trojan-Ransom.Win32.Phny (*): 11,56%
• Trojan-Ransom.Win32.Gen (*): 11,37%
• Stop / Trojan-Ransom.Win32.Stop: 7,76%
• Trojan-Ransom.Win32.Encoder (*): 6,66%
• Trojan-Ransom.Win32.Generic (*): 4,77%
• Trojan-Ransom.Win32.Crypren (*): 4,07%
• PolyRansom / VirLock / Virus.Win32.PolyRansom: 2,54%
• Crysys / Dharma / Trojan-Ransom.Win32.Crysis: 2,21%
• Trojan-Ransom.Win32.Crypmod (*): 1,83%

Vale notar que esses dados se referem a 2020. Desde então, surgiram novas variantes de destaque. Em 2022, por exemplo, o ransomware Stop/Djvu foi responsável por cerca de 17% das infecções registradas, seguido pelo WannaCry (15%). Além disso, grupos como o LockBit ganharam destaque: em meados de 2022, o LockBit já aparecia como a família de ransomware mais ativa, com incidência cinco vezes maior que a do segundo colocado.

Além dessas estatísticas, reunimos uma lista com alguns tipos de ransomware bem conhecidos. Veja só:

• Bad Rabbit: variante que atacou empresas na Rússia e no Leste Europeu e se espalhava por meio de uma falsa atualização do Adobe Flash em sites comprometidos. Depois da infecção, a vítima era instruída a pagar 0,05 bitcoin.
• Cerber: voltado a usuários do Microsoft 365 na nuvem, já atingiu milhões de usuários com uma campanha de phishing bem elaborada.
• CryptoLocker: um dos ransomwares mais conhecidos, chamou a atenção do mundo para esse tipo de malware. A sua rede de bots foi desativada em 2014, mas os criminosos conseguiram extorquir cerca de US$ 3 milhões das vítimas. A abordagem do CryptoLocker foi copiada por outros ransomwares, embora sem ligação direta com o original.
• CryptoWall: ganhou notoriedade após a queda do CryptoLocker. Distribuído por spam ou por kits de exploits, apareceu no início de 2014 e tem uma grande variedade de nomes, como CryptoWall 2.0, CryptoWall 3.0, CryptoBit e CryptoDefense.
• Crysis: criptografa arquivos em discos internos, removíveis e de rede, com um algoritmo bastante robusto. Geralmente se espalha por e-mails com anexos de extensão dupla, que disfarçam o fato de serem arquivos executáveis.
• CTB-Locker: aqui a estratégia é diferente. Os criminosos terceirizam o processo de infecção para parceiros, em troca de uma parte dos lucros. Assim, conseguem atingir muito mais vítimas, e mais rapidamente.
• GoldenEye: parecido com o Petya, espalha-se por campanhas em larga escala voltadas a departamentos de Recursos Humanos. Quando o arquivo é aberto, uma macro é acionada e criptografa os arquivos do computador. A cada arquivo criptografado, o GoldenEye acrescenta uma extensão aleatória de 8 caracteres. Ele também substitui o registro mestre de inicialização (MBR) do disco por um carregador de inicialização próprio.
• Jigsaw: criptografa os arquivos e vai apagando-os aos poucos até que o resgate seja pago. Um arquivo é apagado depois da primeira hora, e a quantidade aumenta a cada hora até completar 72 horas, quando todos os arquivos restantes são eliminados.
• KeRanger: descoberto num cliente de BitTorrent popular, não é tão disseminado quanto outras variantes, mas é conhecido como o primeiro ransomware totalmente funcional feito para atacar o Mac OS X.
• LeChiffre: ao contrário de outros, o LeChiffre precisa ser executado manualmente no sistema comprometido. Os criminosos vasculham automaticamente as redes em busca de áreas de trabalho remotas mal protegidas, acessam-nas e executam o vírus manualmente.
• LockerGoga: atingiu várias empresas europeias, como a Norsk Hydro, onde se infiltrou por um e-mail de phishing. O ataque causou uma interrupção global de TI e obrigou a empresa a comprar centenas de computadores novos.
• Locky: malware enviado por e-mail como se fosse uma fatura. Ao abrir o anexo, o documento aparece ilegível, e a vítima é instruída a ativar as macros para conseguir lê-lo. Quando isso acontece, o Locky começa a criptografar grandes volumes de dados com o algoritmo AES.
• Maze: descoberto em 2019, ficou conhecido por expor dados das vítimas, especialmente no setor de saúde. A Xerox também teve mais de 100 GB de dados roubados num ataque atribuído ao Maze.
• NotPetya: tratado inicialmente como uma variante do Petya, este malware é, segundo os pesquisadores, na verdade um “wiper”, cujo único objetivo é destruir os dados, e não obter um resgate.
• Petya: ao contrário de outros ransomwares, o Petya criptografa o sistema inteiro, sobrescrevendo o MBR e impedindo o computador de inicializar.
• Ryuk: fez muitas vítimas, especialmente em 2020, em ataques contra empresas, hospitais e órgãos públicos. Criptografa arquivos críticos e exige resgates altos, muitas vezes na casa dos milhões de dólares.
• Spider: distribuído por e-mails na Europa, fica escondido em documentos do Word. O documento contém várias macros maliciosas e, quando a vítima o abre e ativa as macros, o ransomware é baixado e começa a criptografar os dados.
• TeslaCrypt: também usa o algoritmo AES e geralmente é distribuído pelo kit de exploits Angler, que explora sobretudo vulnerabilidades em programas da Adobe. Depois de explorar a falha, o TeslaCrypt se instala na pasta temporária do Windows.
• TorrentLocker: costuma ser distribuído em campanhas de e-mail direcionadas a regiões específicas. Usa o algoritmo AES para criptografar os arquivos e, numa particularidade sua, coleta os endereços de e-mail da lista de contatos da vítima para se espalhar a partir do computador infectado.
• WannaCry: muito conhecido, já afetou mais de 125 mil empresas em mais de 150 países. Explora uma vulnerabilidade do Windows (conhecida como EternalBlue) para se propagar automaticamente pela rede.
• ZCryptor: malware que se propaga sozinho, com comportamento de “verme” (worm): criptografa os arquivos e infecta dispositivos de armazenamento externo para se espalhar para outros computadores.

Embora estes estejam entre os mais comuns, existem muitos outros ransomwares, com características e meios de transmissão diferentes, e novas variantes continuam surgindo.

08Quais dispositivos e sistemas os ransomwares podem atacar?

Computadores com Windows, Linux e macOS, além de dispositivos Android e iOS: na prática, ninguém está totalmente imune. Uma pesquisa do portal Statista com mais de 1.000 provedores de serviços perguntou quais sistemas já tinham sido infectados por ransomware (era possível escolher mais de uma alternativa). As respostas foram estas:

• Windows: 91%
• Windows Server: 76%
• Windows Tablet: 8%
• macOS: 7%
• Android: 6%
• iOS: 4%

O Windows lidera a lista com folga, mas os outros sistemas também podem ser infectados por ransomware.

09Como saber se o meu dispositivo está infectado por ransomware?

Não há uma forma única de saber se o dispositivo está infectado por um ransomware, porque cada variante age de um jeito. Mesmo assim, alguns sinais servem de alerta, por exemplo:

• Navegador ou área de trabalho travados, com uma mensagem explicando como pagar para desbloquear o sistema;
• Pastas com uma “nota de resgate”, geralmente em arquivos .txt;
• Todos os arquivos passam a ter uma nova extensão depois do nome original, como .exx, .zzz, .xxx, .micro, .encrypted, .crypto, .locked, .LOL!, .RDM, .magic, .SUPERCRYPT e assim por diante;
• Atividade incomum do disco ou do processador, muitas vezes no mesmo horário do dia, que pode indicar a ação de um malware.

Se notar algum desses sinais, desconecte o dispositivo da rede e procure a Bot o quanto antes para uma análise minuciosa. Quanto mais cedo um possível ataque de ransomware for identificado, melhor.

10O que fazer para me proteger contra um ataque de ransomware?

A prevenção é uma das melhores formas de evitar um ataque de ransomware, e as dicas a seguir podem ajudar:

• Faça backups com frequência. Se você for vítima de ransomware mas tiver os seus dados salvos em outro lugar, o estrago será muito menor. Use armazenamento em nuvem com histórico de versões ou HDs externos que fiquem desconectados do computador fora do momento do backup, já que o ransomware também criptografa as unidades conectadas.
• Tenha cuidado com e-mails e mensagens suspeitas. Se notar algo estranho, confirme com a pessoa que supostamente enviou a mensagem. Se o remetente for desconhecido, redobre a atenção.
• Não baixe anexos de origem duvidosa. Seja uma planilha, um documento de texto ou um PDF, se não tiver certeza da origem, o melhor é não abrir, porque pode ser uma armadilha.
• Mantenha os seus programas e o sistema operacional atualizados. As atualizações costumam corrigir falhas de segurança, o que é essencial para evitar brechas.
• Prepare um plano de recuperação de desastres. Ter um Disaster Recovery Plan (DRP) é fundamental, especialmente para empresas. O plano pode incluir vários passos, como isolar da rede os equipamentos afetados, desativar o Wi-Fi e o Bluetooth dos dispositivos e até avisar as autoridades.

11Criptografaram meus arquivos: e agora?

Se você foi vítima de um ataque de ransomware, o ideal é procurar ajuda profissional para não agravar o problema. Sabemos que esse tipo de infecção dá muita dor de cabeça, mas contar com profissionais ajuda bastante. De modo geral, as vítimas têm três opções ao detectar um ransomware no dispositivo:

• Pagar o resgate e torcer para que os criminosos enviem a ferramenta para decifrar os dados (o que não acontece em cerca de 30% dos casos);
• Procurar uma empresa reconhecida e com resultados comprovados na recuperação de dados criptografados (como a Bot);
• Restaurar o computador para as configurações de fábrica e perder todos os dados.

É importante não ceder à chantagem dos criminosos. A recomendação é não pagar o resgate: os valores são altos, o pagamento é complicado, não há garantia de ter os dados de volta e ainda se incentiva esse tipo de crime. As outras opções exigem experiência, conhecimento e ferramentas especializadas, por isso é crucial buscar ajuda profissional o quanto antes. Quanto menos os arquivos afetados forem mexidos (sem renomeá-los, reinstalar o sistema ou rodar programas de limpeza), maiores são as chances de recuperação.

12O que fazer para descriptografar um arquivo?

Se você suspeita que foi vítima de ransomware e quer saber como recuperar arquivos criptografados por ransomware, o melhor é entrar em contato com a Bot imediatamente, porque procedimentos incorretos podem dificultar a recuperação. É um processo bastante técnico, que exige uma análise minuciosa de cada caso, algo que deve ser feito por especialistas com muita experiência em recuperar arquivos criptografados.

13Remover criptografia de ransomware

Depois de analisar a infecção, a criptografia pode ser removida com uma ferramenta de descriptografia, quando existe uma para aquela variante, ou com técnicas profissionais de reconstrução de arquivos. Cada tipo de ransomware pede uma ferramenta diferente; por isso, é importante contar com profissionais que saibam identificá-lo corretamente e usar a solução adequada para cada caso.

14Como funciona a recuperação de arquivos criptografados?

Primeiro, nossos técnicos analisam a situação para definir a opção mais segura e econômica para recuperar os arquivos criptografados. Todas as possibilidades são avaliadas num estudo específico sobre o tipo de ransomware, o seu funcionamento e as falhas de segurança que ele apresenta. Com isso, sabemos se o processo pode ser revertido para descriptografar os dados. Se não for possível, uma equipe de especialistas faz uma análise aprofundada da estrutura dos arquivos para encontrar os rastros deixados durante a infecção e reconstruir o máximo possível dos dados. Fazemos todos os procedimentos possíveis para aumentar as chances de recuperar os seus arquivos de forma eficiente e segura. É muito importante que você procure a Bot o quanto antes, já que alguns ransomwares podem apagar os arquivos depois de algum tempo. Além do diagnóstico gratuito em até 48 h, há as opções prioritária (até 24 h) e urgente (até 12 h), que agilizam ainda mais o processo. A nossa equipe trabalha 24 horas por dia, 7 dias por semana, 365 dias por ano, para que você tenha todo o suporte de que precisa nessa situação. Com mais de 200 mil casos, temos uma taxa de sucesso de 96%. Não perca mais tempo e enfrente o sequestro de dados por ransomware com a segurança e a eficiência que você merece!

Precisa recuperar os arquivos? A Bot faz o diagnóstico grátis em laboratório: conheça a recuperação de dados profissional.