No Brasil, empresas do setor de comunicação e de outras áreas alertaram para presença do ransomware na manhã desta quarta-feira (25). Segundo análise da Kaspersky, fabricante russa de antivírus, o ataque não usa explorações (exploits). É um drive-by attack: as vítimas baixam um falso instalador Adobe Flash Player de sites infectados e iniciam manualmente o arquivo .exe, infectando os seus PCs.

Vale notar que este é um ataque que funciona em computadores Windows.

Ou seja, se você entrar em algum site que solicite a atualização do Flash para ver um vídeo ou ter acesso a algum conteúdo, não a faça via pop-ups do próprio site. Você pode descobrir se está utilizando a versão mais recente no próprio site da Adobe e obter o download seguro e original do Flash caso seja necessário seu uso.

Ao clicar no botão "Instalar", o download de um arquivo executável é iniciado. Este arquivo, encontrado como install_flash_player.exe, é que causa o bloqueio dos seus dados na máquina.

"Nossos pesquisadores detectaram uma série de sites comprometidos, todos sites de notícias ou de mídia", afirma o documento publicado pela Kaspersky. A empresa de segurança, entretanto, ainda não tem informações sobre a possibilidade de recuperar os arquivos encriptados pelo vírus ransomware Bad Rabbit — seja pagando o resgate ou usando alguma falha no código do malware.

A Kaspersky afirma que, por enquanto, a maioria das vítimas do Bad Rabbit está na Rússia. Também foram vistos ataques semelhantes, porém em menor volume, na Ucrânia, na Turquia e na Alemanha. A fabricante de antivírus afirma ainda que o ataque é direcionado contra redes corporativas, usando métodos semelhantes aos usados no ExPetr, mas sem relação comprovada com ataques anteriores.

De acordo com a ESET, a Rússia tinha mais da metade das vítimas nesta manhã, seguida de Ucrânia, Bulgária, Turquia e também do Japão. A fabricante do NOD32 também liberou uma lista de sites afetados que devem ser evitados.

1. Rússia: 65%
2. Ucrania: 12.2%
3. Bulgaria: 10.2%
4. Turquia: 6.4%
5. Japão: 3.8%
6. Outros: 2.4%

• Leia mais: como ransomware se espalha de um país para o outro

Lista de sites afetados pelo Bad Rabbit que sugerem falso Flash

"Alguns sites populares estão comprometidos com JavaScript injetado em seu corpo HTML ou em um de seus arquivos .js", informa a ESET. São eles:

• hxxp://argumentiru[.]com
• hxxp://www.fontanka[.]ru
• hxxp://grupovo[.]bg
• hxxp://www.sinematurk[.]com
• hxxp://www.aica.co[.]jp
• hxxp://spbvoditel[.]ru
• hxxp://argumenti[.]ru
• hxxp://www.mediaport[.]ua
• hxxp://blog.fontanka[.]ru
• hxxp://an-crimea[.]ru
• hxxp://www.t.ks[.]ua
• hxxp://most-dnepr[.]info
• hxxp://osvitaportal.com[.]ua
• hxxp://www.otbrana[.]com
• hxxp://calendar.fontanka[.]ru
• hxxp://www.grupovo[.]bg
• hxxp://www.pensionhotel[.]cz
• hxxp://www.online812[.]ru
• hxxp://www.imer[.]ro
• hxxp://novayagazeta.spb[.]ru
• hxxp://i24.com[.]ua
• hxxp://bg.pensionhotel[.]com
• hxxp://ankerch-crimea[.]ru

As informações sobre os métodos de propagação ainda são confusas. Há relatos de que o malware usa mesma falha EternalBlue para se espalhar — o que o tornaria mais próximo de WannaCry e Not-Petya. Outros, afirmam que o vírus tenta acesso via compartilhamentos, usando uma lista pré-definida de usuários e senhas padrão, obtida por meio do Mimikatz. É certo, porém, que o malware usa o DiskCryptor, um software legítimo e opensource de critpografia total do discos.

A Kaspersky sugere desativar o WMI do Windows para evitar infecções em rede.

Para que serve e o que é WMI Provider Host? Tire dúvidas no fórum.