Defesa contra o Conti Ransomware: Por que a CISA recomenda urgentemente a microssegmentação

Em 2021, a Agência de Segurança Cibernética e de Infraestrutura (CISA) e o Federal Bureau of Investigation (FBI) emitiram um comunicado conjunto de segurança cibernética sobre a onda contínua de ataques de ransomware Conti — uma variante do modelo de ransomware como serviço (RaaS) conhecida por estar por trás de mais de 400 ataques a organizações americanas e internacionais desde seu início em 2020.

O Conti é apenas a última novidade no atual flagelo do ransomware. À medida que nos aproximamos do aniversário de um ano da violação da SolarWinds, os ataques de ransomware continuam evoluindo e abundam — em uma escala inequívoca.

Agora, mais do que nunca, é imperativo que as organizações tomem as medidas necessárias para reforçar sua resiliência cibernética — não apenas para proteger e defender seus próprios negócios, mas também seus clientes e cadeias de suprimentos da onda de ataques contínuos de ransomware.

O que é o ransomware Conti?

De acordo com a assessoria conjunta da CISA e do FBI, “Em ataques típicos de ransomware da Conti, agentes cibernéticos maliciosos roubam arquivos, criptografam servidores e estações de trabalho e exigem o pagamento de resgate”.

O comunicado também observou que os desenvolvedores do Conti geralmente pagam aos implantadores do ransomware um salário, em vez de uma porcentagem da receita de um ataque bem-sucedido. Essa revelação torna o modelo em si ainda mais alarmante, pois os implantadores são pagos independentemente do sucesso de " " em um determinado ataque.

No início deste mês, a SiliconAngle informou que Conti “foi associado a uma série de ataques, incluindo um contra o serviço de saúde da Irlanda em maio... Vítimas anteriores de Conti incluem a fabricante de computadores industriais Advantech em novembro, a fabricante de hardware e software de VOIP Sangoma Technologies em dezembro e hospitais na Flórida e no Texas em fevereiro”.

A SiliconAngle também observou que Conti foi alvo de um aviso do FBI em maio, dizendo que a gangue e suas afiliadas tinham como alvo os profissionais de saúde — um setor vital, especialmente porque a pandemia de Covid-19 continua.

Proteção contra Conti

Para proteger os sistemas contra o ransomware Conti, a CISA e o FBI recomendam as seguintes precauções — Zero Trust e os princípios de segmentação são os principais:

• Use a autenticação multifator para acessar redes remotamente a partir de fontes externas.
• Implemente a segmentação da rede e filtre o tráfego. Implemente e garanta uma segmentação de rede robusta entre redes e funções para reduzir a propagação do ransomware. Filtre o tráfego da rede para proibir comunicações de entrada e saída com endereços IP maliciosos conhecidos. Ative filtros de spam fortes para evitar que e-mails de phishing cheguem aos usuários finais.
  
  As organizações também devem considerar a implementação de um programa de treinamento de usuários para desencorajar os usuários de visitar sites maliciosos ou abrir anexos maliciosos. As equipes de TI devem implementar uma lista de bloqueio e/ou permissão de URL para impedir que os usuários acessem sites maliciosos; com kits de ferramentas de tecnologia mais avançados, isso pode ser automatizado.
• Verifique se há vulnerabilidades e mantenha o software atualizado. Configure programas antivírus e antimalware para realizar verificações regulares dos ativos da rede usando assinaturas atualizadas. As organizações também devem garantir que estejam atualizando o software e os sistemas operacionais, os aplicativos e o firmware dos ativos de rede em tempo hábil.
• Remova aplicativos desnecessários e aplique controles. Remova qualquer aplicativo não considerado necessário para as operações diárias. Investigue qualquer software não autorizado.
• Implemente ferramentas de resposta de detecção e endpoint. Sabe-se que as ferramentas de endpoint e resposta à detecção aumentam a visibilidade que as equipes de SecOps têm em qualquer ambiente de segurança cibernética, o que significa que agentes cibernéticos maliciosos e ameaças em potencial podem ser identificados e melhor mitigados desde o início.
• Contas de usuário seguras. Audite regularmente contas de usuários administrativos e configure controles de acesso sob os princípios de menor privilégio (Zero Trust) e separação de tarefas. As organizações também devem auditar regularmente os registros para garantir que as novas contas sejam usuários legítimos.

À medida que mais modelos de RaaS e variedades de ransomware surgem, é essencial que as organizações identifiquem e minimizem quaisquer possíveis vetores de ameaças ou vulnerabilidades desde o início. Entre as recomendações descritas acima, uma das melhores práticas críticas que as organizações devem adotar atualmente é a segmentação.

Como a segmentação Zero Trust da Illumio pode ajudar

O Illumio interrompe o ransomware e, diferentemente da segmentação de rede antiga, evolui com sua organização ao oferecer:

• Segmentação simples e rápida. Com o Illumio, você pode segmentar aplicativos, usuários e ativos específicos em minutos usando a criação automática de políticas.
  
  No caso do Conti, o ransomware explorou o bloco de mensagens do servidor (SMB) e o protocolo de desktop remoto (RDP) para se mover lateralmente. Com o Illumio Core, você pode escrever uma política simples que bloqueie esses dois protocolos em sua propriedade, exceto quando eles são absolutamente necessários, reduzindo de forma rápida e eficaz a exposição ao risco.
• Política que se adapta aos seus ambientes dinâmicos. Como a Illumio usa sua infraestrutura existente para aplicar políticas, ela se expandirá junto com sua rede à medida que evolui.
• Segmentação no nível do host. Usando firewalls baseados em host existentes, você pode gerenciar todas as suas políticas de segmentação a partir de uma única instância na nuvem sem precisar mexer na infraestrutura ou mover cabos. 

Saiba mais sobre como a Illumio pode reduzir drasticamente seu risco ao limitar o alcance de uma violação bem-sucedida: leia o artigo Como evitar que o ransomware se torne um desastre cibernético e confira a postagem do blog, 9 razões para usar o Illumio para combater o ransomware. 

Para obter informações adicionais sobre a gangue de ransomware Conti, visite a página oficial de aconselhamento.