Bad Rabbit: o ransomware do falso Flash que atingiu Kiev em 2017

Em 24 de outubro de 2017, funcionários do metrô de Kiev, do aeroporto de Odessa e de agências de notícias russas encontraram a mesma tela: fundo preto, letras vermelhas e um pedido de 0,05 bitcoin, cerca de 280 dólares na época, para recuperar o computador. O nome do ataque era Bad Rabbit. Chegou quatro meses depois do NotPetya e, por isso, o primeiro pensamento de todo mundo foi: "de novo".

O que foi o Bad Rabbit?

O que é o Bad Rabbit?

Bad Rabbit foi um ransomware que criptografava arquivos e o disco inteiro de computadores Windows, disfarçado de atualização do Adobe Flash Player e espalhado por sites comprometidos, principalmente na Rússia e na Ucrânia. Depois de entrar em uma máquina, ele tentava pular para as outras da mesma rede.

Segundo a Cyberscoop e a Dark Reading, entre os alvos estavam o metrô de Kiev, o aeroporto internacional de Odessa, os ministérios da Infraestrutura e das Finanças da Ucrânia e a agência russa Interfax. A Kaspersky afirmou que a maior parte das vítimas estava na Rússia. Casos também foram relatados na Turquia, Bulgária e Alemanha.

Como a infecção começava

A análise da Cisco Talos descreve um ataque drive-by: o visitante abria um site legítimo, mas comprometido, e era redirecionado para baixar um arquivo chamado install_flash_player.exe. O dropper não explorava nenhuma falha para entrar. A vítima precisava executar o arquivo por conta própria.

É a parte mais didática do caso: nada de zero-day sofisticado na porta de entrada, só um botão de "atualizar" que parecia comum. O mesmo princípio vale para os ataques de watering hole, em que o site visitado pela vítima é a arma.

Como ele se espalhava pela rede

Depois da primeira máquina, entrava o componente de movimentação lateral. Segundo a Talos, ele combinava duas coisas:

• Uma lista embutida de credenciais fracas, testadas contra outras máquinas via SMB.
• Uma ferramenta tipo Mimikatz, para extrair credenciais da memória de máquinas já infectadas e reaproveitá-las. É o mesmo raciocínio do pass-the-hash.

A Talos também observou o uso do EternalRomance, exploit ligado à falha MS17-010 que já tinha aparecido no NotPetya. Ela não encontrou evidência do EternalBlue, que foi o centro do WannaCry. A ESET, por sua vez, afirmou que as amostras usadas no metrô de Kiev eram uma variante da família Petya.

Qual a relação com o NotPetya?

O Bad Rabbit foi feito pelos mesmos autores do NotPetya?

Nunca ficou comprovado. Pesquisadores acharam código e técnicas em comum, mas isso não basta para provar autoria.

A Intezer apontou código copiado do NotPetya, e a Malwarebytes descreveu muitos elementos parecidos. A diferença é que o Bad Rabbit trocou o núcleo do Petya por um criptografador de disco legítimo, o DiskCryptor, junto com um driver legítimo. Os percentuais de semelhança divulgados na época variaram bastante de uma fonte para outra, então vale desconfiar de qualquer número exato.

Outra diferença importante: a Malwarebytes observou que, no Bad Rabbit, os dados podiam ser recuperados com a chave, ao contrário do NotPetya, que se comportava como um apagador de disco disfarçado de ransomware. Antes do ataque, o serviço de segurança da Ucrânia (SBU) tinha alertado, em 14 de outubro, para uma nova onda parecida com a do NotPetya.

Lições práticas

1. Atualização de software não vem de pop-up. Plugin, driver e navegador se atualizam pelo próprio programa ou pela loja oficial, nunca por um botão numa página. O Flash, aliás, saiu de cena: a Adobe encerrou o suporte em 31 de dezembro de 2020.
2. Senha fraca e reutilizada multiplica o estrago. Se uma credencial de administrador abre dezenas de máquinas, o ransomware abre também. Use senhas únicas e contas separadas para administração.
3. Corrija a MS17-010. A falha do EternalRomance já tinha patch da Microsoft desde março de 2017. Quem aplicou o patch ficou fora de uma das rotas de propagação.
4. Tenha backup que o ransomware não alcança. Veja a regra 3-2-1 de backup: uma cópia offline vale mais que qualquer antivírus na hora do incidente.
5. Não pague de primeira. O US-CERT recomendou não pagar o resgate. Isole as máquinas, desligue da rede e acione o plano de resposta.

A lição maior

O Bad Rabbit foi menor que o NotPetya e o WannaCry em estrago, mas mostrou que o ransomware moderno é um conjunto de peças reaproveitadas: um golpe de engenharia social na entrada, credenciais roubadas no meio e uma falha antiga sem patch como reforço. Cortar uma dessas peças já muda o resultado.

Se quiser aprofundar, leia o guia de como se proteger de ransomware.

Fontes consultadas

• Cisco Talos — Bad Rabbit
• Cyberscoop — BadRabbit ransomware spreading across Ukraine, Russia
• Help Net Security — NotPetya successor Bad Rabbit
• Malwarebytes — BadRabbit: a closer look
• Bitdefender Labs