Viral Maniar presentó en la conferencia DEF CON 28 Safe Mode Phirautee, un ransomware a modo de prueba de concepto que nos ayudará a difundir y mejorar la conciencia de nuestros usuarios sobre los ataques y las implicaciones del ransomware. Esta herramienta roba la información y mantiene los datos de una organización retenidos para pagos o los cifra/borra permanentemente.

En los últimos años, el ransomware se ha vuelto loco y las organizaciones de todo el mundo están siendo atacadas, lo que provoca daños e interrupciones. Como todos sabemos, el panorama de las amenazas está cambiando rápidamente y escuchamos el alboroto sobre la infección de ransomware en las oficinas o leemos sobre ello en las noticias. ¿Alguna vez te has preguntado cómo los actores de amenazas escriben ransomwares? ¿Qué nivel de sofisticación y comprensión se requiere para apuntar a una organización?

Utilizando los comandos nativos de Windows para crear ransomware y apuntar a un host mediante phishing. Presentamos Phirautee, un virus criptográfico de prueba de concepto para difundir la conciencia de los usuarios sobre los ataques y las implicaciones de los ransomwares. Phirautee está escrito exclusivamente con PowerShell y no requiere bibliotecas de terceros. 

La herramienta roba la información, mantiene los datos de una organización como rehenes para pagos o encripta / borra permanentemente los datos de la organización. La herramienta utiliza criptografía de clave pública para cifrar los datos en el disco. Antes de cifrar, extrae los archivos de la red al atacante. Una vez que los archivos están encriptados y exfiltrados, los archivos originales se eliminan permanentemente del host y luego la herramienta exige un rescate. El rescate se solicita utilizando la criptomoneda para los pagos, por lo que las transacciones son más difíciles de rastrear para las fuerzas del orden. Durante la demostración de Phirautee, verá una cadena de ataque completa, es decir, de recibir un ataque de ransomware a través de un correo electrónico de phishing y cómo los archivos se cifran en los sistemas comprometidos. Se proporcionaría un recorrido detallado del código fuente para comprender cómo los piratas informáticos utilizan métodos simples para crear algo peligroso. 

También hay varios  mecanismos de defensa realizando análisis forenses en Phirautee utilizando herramientas disponibles públicamente. 

Características

• Phirautee está escrito exclusivamente con PowerShell y no requiere librerías de terceros.
• La herramienta utiliza comandos Living off the Land (LotL) y criptografía de clave pública para cifrar los datos en el disco y filtrar archivos grandes a través de Google Drive.

• Antes de cifrar, extrae los archivos de la red de la víctima y, una vez que los archivos están cifrados y exfiltrados, los archivos originales se eliminan permanentemente del host para finalmente exigir un rescate.
• El ransom solicita un pago de 0.10 BTC (~ 1k USD).
  

Detección

• La extensión de archivo de los archivos cifrados se cambia a ".phirautee"
• El fondo de escritorio del host comprometido se cambia con el fondo Phirautee
• El escritorio tendrá el archivo Phirautee.txt
  

Estrategias de mitigación

• Segmentación de la red y detección de movimiento lateral. Seguir el principio de acceso con privilegios mínimos o restringir el acceso a servidores confidenciales. Utilizar MFA en todos los portales importantes.
• Deshabilitar PowerShell para usuarios de dominio estándar y realizar listas blancas de aplicaciones.
• Copias de seguridad frecuentes en toda la red (si es posible sin conexión).
• Aplicar parches y tener un programa de gestión de vulnerabilidades.
• Tener un equipo de respuesta a incidentes dedicado y desarrollar un plan para eventos de ransomware.
• Invertir en un buen producto IDS/IPS/EDR/AV/CASB.
• Validar la efectividad de sus herramientas y tecnologías de defensa a través de ejercicios ofensivos preaprobados.
• Organizar sesiones de formación sobre phishing y educación de usuarios para sus empleados.
• Tener un seguro ciber para ayudar a cubrir los costes en caso de que deba pagar el rescate. Además, revisar las pólizas de seguro para asegurarse de que no haya agujeros.
• Obtener ayuda de los feds locales para las claves de descifrado.

Fuentes:
https://blog.segu-info.com.ar/2021/05/phirautee-poc-de-ransomware-para-poner.html

https://www.hackplayers.com/2021/05/phirautee-un-poc-de-un-ransomware.html