Ransomware se espalhando pela rede: recursos antigos do Windows que facilitam o ataque

A situação

Um colaborador abre um anexo que parecia uma nota fiscal. Nada acontece na tela. Dias depois, numa segunda-feira, os arquivos do servidor e de metade dos computadores do escritório estão com extensão estranha, e há um bilhete pedindo resgate.

O que quase ninguém percebe é o caminho entre um computador e o outro. O ransomware raramente fica na máquina onde entrou. Ele procura senhas guardadas na memória, escuta a rede atrás de credenciais e usa o acesso remoto do próprio Windows para chegar aos outros computadores. Muitas vezes, quem abre essas portas são recursos antigos do Windows que continuam ligados só porque ninguém foi lá desligar.

Para o técnico do MSP, o problema é de escala: são dezenas ou centenas de computadores, de clientes diferentes, cada um configurado de um jeito ao longo dos anos.

Por que é um problema

Um computador infectado é um incidente. Uma rede inteira cifrada é a empresa parada: sem sistema, sem arquivos, sem atendimento. A recuperação depende de backup em dia, consome dias de trabalho e, enquanto isso, o cliente não fatura.

Os recursos abaixo não são falhas novas. São configurações conhecidas, que já têm alternativa mais segura. O risco está em ninguém saber se estão ligadas em cada computador, e em desligá-las uma a uma, à mão, em todas as máquinas.

Os seis recursos e como desligar manualmente

1. WDigest. É um método antigo de autenticação que, quando ativo, deixa a senha do usuário guardada de forma legível na memória do computador. Uma ferramenta de ataque lê essa senha e a usa para entrar em outras máquinas. Para conferir, no Editor do Registro, procure a chave de WDigest em SecurityProviders, dentro de Control, e confira se o valor UseLogonCredential está em 0 ou não existe. Se estiver em 1, mude para 0.

2. LLMNR. Quando o computador não encontra um nome na rede, ele pergunta para os vizinhos. Um atacante na mesma rede responde "sou eu" e recebe a credencial do usuário. Para desligar, na Política de Grupo, vá em Configuração do Computador, Modelos Administrativos, Rede, Cliente DNS, e ative a opção que desliga a resolução de nomes multicast.

3. Assinatura SMB. Sem a assinatura obrigatória no compartilhamento de arquivos, um atacante consegue interceptar uma autenticação e repassá-la para outro computador. Para exigir, na Política de Grupo, vá em Configurações de Segurança, Políticas Locais, Opções de Segurança, e ative a opção do servidor de rede Microsoft que exige assinar digitalmente as comunicações (sempre).

4. PowerShell versão 2. É uma versão antiga, sem os registros e as proteções das versões atuais. Atacantes a usam justamente para rodar comandos sem deixar rastro. Para remover, abra "Ativar ou desativar recursos do Windows" e desmarque o Windows PowerShell 2.0.

5. Login automático (autologon). Para entrar sem pedir senha, o Windows guarda essa senha no Registro. Qualquer programa com acesso ao Registro pode lê-la. Para desligar, abra a configuração de contas de usuário avançada (netplwiz) e volte a exigir nome de usuário e senha, ou confira no Registro, na chave Winlogon, se o login automático está desativado e se não há senha gravada ali.

6. Área de Trabalho Remota (RDP). É um dos caminhos mais usados tanto para entrar na rede quanto para pular de um computador para outro. Se não é usada, deve ficar desligada. Para isso, vá em Configurações, Sistema, Área de Trabalho Remota, e desative.

Antes de desligar, teste. Impressoras e NAS antigos podem não funcionar com assinatura SMB obrigatória. Redes sem DNS bem configurado podem depender de LLMNR. E desligar a Área de Trabalho Remota corta o acesso de quem trabalha por ela. Por isso o ideal é desligar item a item, em um grupo pequeno de computadores primeiro.

Como o SwiftEye DSM resolve

O SwiftEye DSM desliga à distância, pelo painel, cada um desses seis recursos do Windows:

• WDigest;
• LLMNR;
• passa a exigir a assinatura SMB;
• PowerShell versão 2;
• login automático (autologon);
• Área de Trabalho Remota do Windows (RDP).

A ação é item a item. Não existe um botão único que desliga tudo de uma vez, e isso é proposital: como cada item pode afetar algo no cliente, o técnico escolhe o que desligar e em qual computador.

O SwiftEye DSM não é antivírus e não bloqueia um ataque em andamento. O papel dele aqui é fechar caminhos que o ransomware usa para se espalhar, sem que o técnico precise ir de máquina em máquina.