Gang de Ransomware criptografa rede usando uma webcam para contornar o EDR.

11/03/2025 mindsecblog Notícias 0

A gangue de ransomware Akira foi flagrada usando uma webcam não segura para lançar ataques de criptografia na rede da vítima, contornando efetivamente o Endpoint Detection and Response (EDR), que estava bloqueando o criptografador no Windows.

A equipe da empresa de segurança cibernética S-RM descobriu o método de ataque incomum durante uma recente resposta a incidentes em um de seus clientes.

Notavelmente, Akira só mudou para a webcam depois de tentar implantar criptografadores no Windows, que foram bloqueados pela solução EDR da vítima.

A cadeia de ataque pouco ortodoxa de Akira

Os agentes de ameaças inicialmente obtiveram acesso à rede corporativa por meio de uma solução de acesso remoto exposta na empresa-alvo, provavelmente aproveitando credenciais roubadas ou forçando a senha.

Depois de obter acesso, eles implantaram o AnyDesk, uma ferramenta legítima de acesso remoto, e roubaram os dados da empresa para uso como parte do ataque de dupla extorsão.

Em seguida, Akira usou o Remote Desktop Protocol (RDP) para se mover lateralmente e expandir sua presença para o maior número possível de sistemas antes de implantar a carga útil do ransomware.

Eventualmente, os agentes da ameaça descartaram um arquivo ZIP protegido por senha (win.zip) contendo a carga útil do ransomware (win.exe), mas a ferramenta EDR da vítima o detectou e o colocou em quarentena, essencialmente bloqueando o ataque.

Após essa falha, Akira explorou caminhos alternativos de ataque, verificando a rede em busca de outros dispositivos que pudessem ser usados para criptografar os arquivos e encontrando uma webcam e um scanner de impressão digital.

O S-RM explica que os invasores optaram pela webcam porque ela era vulnerável ao acesso remoto ao shell e à visualização não autorizada do feed de vídeo.

Além disso, ele rodava em um sistema operacional baseado em Linux compatível com o criptografador Linux da Akira. Ele também não tinha um agente EDR, tornando-o um dispositivo ideal para criptografar remotamente arquivos em compartilhamentos de rede.

**Visão geral das etapas de ataque de Akira***Fonte: S-RM*

O S-RM confirmou ao BleepingComputer que os agentes da ameaça utilizaram o sistema operacional Linux da webcam para montar compartilhamentos de rede Windows SMB de outros dispositivos da empresa. Eles então lançaram o criptografador Linux na webcam e o usaram para criptografar os compartilhamentos de rede por SMB, contornando efetivamente o software EDR na rede.

“Como o dispositivo não estava sendo monitorado, a equipe de segurança da organização vítima não sabia do aumento do tráfego malicioso do Server Message Block (SMB) da webcam para o servidor afetado, que de outra forma poderia tê-los alertado”, explica S-RM.

“Akira foi posteriormente capaz de criptografar arquivos na rede da vítima.”

S-RM disse ao BleepingComputer que havia patches disponíveis para as falhas da webcam, o que significa que o ataque, ou pelo menos esse vetor, era evitável.

O caso mostra que a proteção EDR não é uma solução de segurança abrangente e as organizações não devem confiar apenas nela para se proteger contra ataques.

Além disso, os dispositivos IoT não são tão monitorados e mantidos quanto os computadores, mas ainda representam um risco significativo.

Devido a isso, esses tipos de dispositivos devem ser isolados das redes mais sensíveis, como servidores de produção e estações de trabalho.

De igual importância, todos os dispositivos, mesmo os dispositivos IoT, devem ter seu firmware atualizado regularmente para corrigir falhas conhecidas que podem ser exploradas em ataques.