Realizando Resposta a Ransomware

Quando Usar

• Ransomware foi detectado em execução ou criptografia de arquivos está ocorrendo ativamente
• Usuários relatam incapacidade de abrir arquivos com extensões desconhecidas anexadas
• Uma nota de resgate é descoberta em um ou mais sistemas
• EDR detecta padrões de modificação massiva de arquivos consistentes com comportamento de criptografia
• Inteligência de ameaças alerta sobre uma campanha iminente de ransomware visando a organização

Não use para incidentes gerais de malware que não envolvam criptografia de arquivos ou extorsão; use procedimentos de resposta a incidentes de malware em vez disso.

Pré-requisitos

• Playbook de resposta a incidentes específico para ransomware revisado e aprovado pela liderança executiva
• Estratégia de backup offline testada e verificada com cópias isoladas (air-gapped) ou imutáveis
• Contrato de retenção de incidentes com uma empresa especializada em resposta a ransomware (ex: Mandiant, CrowdStrike Services, Kroll)
• Advogado pré-engajado para triagem de sanções OFAC e notificação regulatória
• Informações de contato da seguradora de cibersegurança e detalhes da cobertura da apólice
• Capacidade de análise de Bitcoin/criptomoedas ou engajamento de terceiros para rastreamento de pagamentos

Fluxo de Trabalho

Etapa 1: Detectar e Confirmar Ransomware

Valide se o incidente é ransomware e determine a variante:

• Identifique o ransomware analisando o nome do arquivo da nota de resgate, a extensão anexada aos arquivos criptografados e o conteúdo da nota
• Faça o upload da nota de resgate e de um arquivo criptografado de exemplo para ID Ransomware (id-ransomware.malwarehunterteam.com)
• Verifique o NoMoreRansom.org para descriptografadores gratuitos disponíveis
• Determine o método de implantação do ransomware a partir dos logs do EDR/SIEM
• Identifique o grupo de ransomware (ex: LockBit, BlackCat/ALPHV, Royal, Akira, Play)

Ransomware Identification:
━━━━━━━━━━━━━━━━━━━━━━━━━
Variant:          LockBit 3.0 (Black)
Extension:        .lockbit3
Ransom Note:      README-LOCKBIT.txt
Tor Site:         lockbit[redacted].onion
Deployment:       Group Policy Object pushing ransomware.exe to all domain-joined systems
Initial Access:   VPN credential compromise (no MFA)
Dwell Time:       12 days
Data Exfiltration: Yes - 47GB uploaded to MEGA via rclone prior to encryption

Etapa 2: Contenção Imediata

Pare a propagação do ransomware antes de avaliar os danos:

• Prioridade 1: Desconecte os segmentos de rede afetados da infraestrutura principal (puxe o cabo de rede, não desligue)
• Prioridade 2: Isole todos os controladores de domínio imediatamente se a implantação baseada em GPO for suspeita
• Prioridade 3: Desative as contas comprometidas usadas para implantação
• Prioridade 4: Bloqueie protocolos de movimento lateral (SMB TCP/445, RDP TCP/3389, WinRM TCP/5985-5986)
• Prioridade 5: Preserve pelo menos um sistema criptografado ativo (não desligue) para análise forense de memória
• NÃO: Desligue sistemas criptografados; mantenha-os ligados para preservar as chaves de criptografia na memória

Etapa 3: Avaliar Danos e Escopo

Quantifique o impacto para informar as decisões de recuperação e negócios:

• Conte o número de sistemas criptografados (estações de trabalho, servidores, controladores de domínio)
• Determine quais sistemas e dados críticos para os negócios foram afetados
• Verifique a integridade dos backups: verifique se os backups não foram criptografados, excluídos ou corrompidos
• Avalie se houve exfiltração de dados (verifique atividade de rclone, WinSCP, MEGA, armazenamento em nuvem)
• Determine o valor da demanda de resgate e o prazo para pagamento
• Verifique as listas de sanções OFAC para confirmar se o grupo de ransomware não é uma entidade sancionada (pagar é legalmente arriscado)

Impact Assessment:
Encrypted Systems:      187 of 340 endpoints (55%)
Encrypted Servers:      12 of 28 (43%) - includes 2 file servers, 1 database server
Domain Controllers:     2 of 3 encrypted
Backup Status:          Veeam repository intact (offline copy verified clean)
Data Exfiltration:      Confirmed - 47GB to MEGA (file listing under analysis)
Ransom Demand:          $2.5M in Bitcoin (72-hour deadline)
OFAC Screening:         LockBit - not currently sanctioned entity (verify with counsel)

Etapa 4: Matriz de Decisão de Recuperação

Avalie as opções de recuperação em consulta com o departamento jurídico, liderança executiva e seguro cibernético:

…