Por Heimdall: O Ransomware CloAk, surgido entre o final de 2022 e início de 2023, representa um grupo de ransomware relativamente novo que tem se destacado, principalmente, por suas atividades na Europa, com um foco especial na Alemanha​​. Este malware criptografa dados das vítimas e exige um pagamento de resgate em troca da chave de descriptografia. Além de criptografar os arquivos, o CloAk tenta eliminar cópias de sombra de volume usando o comando vssadmin.exe delete shadows /all /quiet, renomeando os arquivos afetados com extensões que variam de .crYptA a .crYptE​​.

Análise da ameaça – Vetor Inicial

Em análise foi observado que o grupo CloAk Ransomware, utiliza-se de acessos comprados de corretores de acesso inicial (IABs) em mercados clandestinos, como uma das suas principais táticas de invasão. Esses IABs procuram obter acesso às redes de suas vítimas e vendê-lo a outros atores de ameaças. A partir de maio de 2023, interfaces de funcionários comprometidas foram oferecidas à venda, o que sugere ser a etapa inicial e principal vetor de ataque do grupo para ganhar acesso às redes das vítimas.

Outros métodos de distribuição observados do ransomware são: Engenharia social como phishing, Malvertising, Kits de exploração, Protocolo de área de trabalho remota (RDP), Drive-By Download e Software pirata.

Cadeia de ataque do Ransomware CloAk

Abaixo segue detalhes do funcionamento da cadeia de ataque do ransomware.

Acesso Inicial

O ator de ameaça obtém acesso à rede ou máquina usando vários métodos, como engenharia social, malvertising, kits de exploração, protocolo de desktop remoto (RDP), credenciais roubadas, downloads drive-by ou software pirata.

Reconhecimento

Assim que o invasor obtém acesso, ele procede ao reconhecimento para identificar a rede e os dispositivos do alvo.

Movimento lateral

O invasor se move lateralmente pela rede para obter acesso a todos os dispositivos e sistemas.

Exfiltração

O invasor exfiltra dados da rede ou máquina, que são então usados para ameaçar a vítima e fazê-la pagar o resgate.

Implantação do ransomware

O invasor implanta a carga útil do ransomware Cloak para criptografar os dados da vítima.

Demanda de resgate e vazamento de dados

• O ransomware exibe uma mensagem à vítima, explicando que os arquivos estão inacessíveis e só podem ser acessados novamente mediante pagamento de resgate aos invasores.

O grupo de ransomware Cloak tem um site de extorsão conhecido, onde vende e vaza dados de suas vítimas:

Extensão de arquivos criptografados

• .crYptA
• .crYptB
• .crYptC
• .crYptD
• .crYptE

Nota de resgate

O Ransomware CloAk apresenta uma notificação de resgate denominada “readme_for_unlock.txt“, solicitando um pagamento em retorno pela chave que desfaz a criptografia dos dados. Essa notificação visa pressionar o afetado a efetuar o pagamento do resgate. A nota de resgate contém um texto que procura intimidar a vítima, destacando as consequências de não realizar o pagamento, e oferece instruções sobre como proceder para a negociação do resgate.

Veja o conteúdo da nota de resgate do CloAk abaixo:

Parceria com outros grupos de ransomware

Adicionalmente, foi observada por pesquisadores da SentinelOne uma interconexão entre o ransomware Good Day, da família ARCrypter, e o CloAk, em que vítimas do Good Day foram listadas no site de extorsão do CloAk. Este vínculo indica uma colaboração ou ao menos um relacionamento entre os grupos de ameaças, onde as vítimas de um malware podem acabar sendo alvo de outro, intensificando a pressão para o pagamento do resgate através da ameaça de vazamento ou venda de dados sequestrados​.

O cenário de ameaças representado pelo CloAk e sua possível colaboração com outros malwares, como o Good Day, ressalta a importância de práticas robustas de cibersegurança, incluindo backups offline e regulares, segmentação de rede e atualizações frequentes de software para mitigar o risco de infecção.

MITRE ATT&CK – TTPs