Qué es lo que hay que saber (de momento) de la nueva amenaza de #ransomware #BadRabbit

Algunos han despertado hoy reviviendo viejas pesadillas con el ransomware... los sistemas del Metro de Kiev, el aeropuerto de Odessa y varias organizaciones en Rusia confirmaban que sus sistemas informáticos se habían visto bloqueados debido a que los archivos del sistema operativo habían sido cifrados por un ransomware, esta vez el turno es del denominado BadRabbit.

La amenaza se extiende a otros países de Europa del Este: Alemania, Turquía, Bulgaria, Montenegro... conviene fijar la mirada a este nuevo y lucrativo malware, para lo que me quedo con la síntesis del repositorio de Github de Royce Williams y las noticias que van surgiendo. Que el ransomware nos pille confesados...

Breve descripción:

BadRabbit es un ransomware que es capaz de propagarse de forma local a través de SMB (rescate: $ 0.05 BTC).

Hasta ahora, es dirigido principalmente a Rusia y Ucrania, además de otros países (Alemania, Turquía, Bulgaria, Montenegro). Aunque parece que no se autopropaga a nivel mundial, podría dirigirse a objetivos seleccionados a propósito.
Las mitigaciones son similares a las de Petya / NotPetya.

Infección inicial:

Aparece como una actualización de flash falsa:

https://twitter.com/jiriatvirlab/status/922835700873158661/photo/1
https://twitter.com/darienhuss/status/922847966767042561

Es probable que las infecciones sean del tipo watering-hole/drive-by, pero también pueden ser dirigidas selectivamente.

Objetivos:

Mayormente afecta a .ru /.ua hasta ahora. Medios de comunicación, transporte, gobierno pueden haber sido los primeros objetivos.

Watering holes en Alemania, Turquía, Bulgaria y Montenegro.
Avast dice también Polonia y Corea del Sur?

https://twitter.com/Bing_Chris/status/922932810725326848

Lista de extensiones de archivo específicas:

Imagen Tweet: https://twitter.com/craiu/status/922877184494260227
Texto: https://pastebin.com/CwZfyY2F

Componentes y métodos:

- Usa el binario legítimo y firmado de DiskCryptor para cifrar.

- Crea una tarea programada para reiniciar el sistema infectado.

- Parece que usa EternalBlue (o al menos activa controles que están a la espera de su uso) pero no termina de confirmarse.

- Incorpora Mimikatz para obtener credenciales para propagarse.

- Da un mensaje de usuario "por favor apague el antivirus" en algunas circunstancias... lol!
https://twitter.com/0xAmit/status/922871446602502145

- Sobrescribe el MBR para mostrar el mensaje pidiendo el "rescate"

- También se propaga a través de SMB y WebDAV, autopropagandose localmente:
https://twitter.com/GossiTheDog/status/922875805033730048

- Usa una lista de credenciales hardcodeadas:
https://pastebin.com/01C05L0C

- C:\WINDOWS\cscc.dat == DiskCryptor (bloquea la ejecución para inocularse?) https://www.virustotal.com/#/file/682adcb55fe4649f7b22505a54a9dbc454b4090fc2bb84af7db5b0908f3b7806/details

- C:\Windows\infpub.dat == #BADRABBIT "pushed" lateralmente (bloquea la ejecución para inocularse?) Crear una versión de solo lectura de este archivo puede detener la infección.
https://twitter.com/0xAmit/status/922886907796819968

- Análisis del componente flash_install.php: https://www.hybrid-analysis.com/sample/630325cac09ac3fab908f903e3b00d0dadd5fdaa0875ed8496fcbb97a558d0da?environmentId=100

- Video en acción:
https://twitter.com/GossiTheDog/status/922858264534142976

- Al parecer, borra los registros de Windows y el journal del sistema de archivos, según ESET

- ¿También instala un keylogger?

- Limpia el sector de arranque y pone kernel al final de la unidad?

- Los C&C y los dominios del payload fueron instalados previamente con mucha antelación:
https://twitter.com/mrjohnkelly73/status/922899328636735488
https://twitter.com/craiu/status/922911496497238021