Segurança da Informação

AWS adquire serviço de comunicações criptografadas Wickr. A subsidiária AWS da Amazon anunciou na sexta-feira, 25 de junho, a aquisição da Wickr, uma startup em estágio avançado que vende ferramentas de comunicação criptografadas de ponta a ponta.

Os termos financeiros da transação não foram divulgados. Antes da aquisição, Wickr levantou um total de US $ 73 milhões em quatro rodadas de financiamento de capital de risco.

A Amazon anunciou a aquisição em uma breve postagem no blog que destacou a importância das ferramentas de comunicação seguras para os ambientes de trabalho híbridos modernos.

Estamos entusiasmados em compartilhar que a AWS adquiriu a Wickr, uma empresa inovadora que desenvolveu a tecnologia de comunicação criptografada de ponta a ponta mais segura do setor. Com o Wickr, clientes e parceiros se beneficiam de recursos avançados de segurança não disponíveis nos serviços de comunicação tradicionais – mensagens, chamadas de voz e vídeo, compartilhamento de arquivos e colaboração. Isso dá às empresas preocupadas com a segurança e às agências governamentais a capacidade de implementar controles importantes de governança e segurança para ajudá-los a cumprir seus requisitos de conformidade.

Hoje, os clientes do setor público usam o Wickr para uma ampla gama de missões, desde a comunicação segura com funcionários em escritórios até o fornecimento de comunicações criptografadas aos membros do serviço na ponta tática. Os clientes corporativos usam o Wickr para manter a comunicação entre funcionários e parceiros de negócios em sigilo, enquanto permanecem em conformidade com os requisitos regulamentares.

A necessidade desse tipo de comunicação segura está se acelerando. Com a mudança para ambientes de trabalho híbridos, em parte devido à pandemia COVID-19, as empresas e agências governamentais têm um desejo crescente de proteger suas comunicações em muitos locais remotos. As soluções de comunicações seguras da Wickr ajudam empresas e organizações governamentais a se adaptarem a essa mudança em suas forças de trabalho e são uma adição bem-vinda ao conjunto crescente de serviços de colaboração e produtividade que a AWS oferece aos clientes e parceiros.

A AWS está oferecendo serviços do Wickr com eficácia imediata e os clientes, canais e parceiros de negócios do Wickr podem continuar a usar os serviços do Wickr como fazem hoje.

De acordo com o vice-presidente e diretor de segurança da informação (CISO) Stephen Schmidt, a AWS oferecerá serviços do Wickr com eficácia imediata e os clientes, canais e parceiros de negócios do Wickr podem continuar a usar os serviços do Wickr como fazem hoje.

A mudança pode sinalizar um impulso inicial da Amazon no lucrativo espaço de mensagens corporativas atualmente dominado por empresas como Slack, Microsoft Teams (0365) e Google Workspace.

“Com o Wickr, clientes e parceiros se beneficiam de recursos avançados de segurança não disponíveis nos serviços de comunicação tradicionais – através de mensagens, chamadas de voz e vídeo, compartilhamento de arquivos e colaboração. Isso dá às empresas preocupadas com a segurança e às agências governamentais a capacidade de implementar importantes controles de governança e segurança para ajudá-los a cumprir seus requisitos de conformidade ”, disse Schmidt.

Ele disse que os clientes do setor público usam o Wickr para comunicações seguras com funcionários em escritórios ou para fornecer comunicações criptografadas aos membros do serviço na ponta tática. “Os clientes corporativos usam o Wickr para manter as comunicações entre funcionários e parceiros de negócios privadas, enquanto permanecem em conformidade com os requisitos regulatórios”, disse Schmidt, explicando por que a AWS adquiriu o serviço Wickr.

“A necessidade desse tipo de comunicação segura está se acelerando. Com a mudança para ambientes de trabalho híbridos, em parte devido à pandemia COVID-19, as empresas e agências governamentais têm um desejo crescente de proteger suas comunicações em muitos locais remotos ”, acrescentou.

Wickr foi lançado em 2012 como uma startup com sede em Nova York, fornecendo um aplicativo de mensagens instantâneas para comunicações criptografadas. Ao longo dos anos, a empresa distribuiu vários aplicativos de mensagens seguras para clientes empresariais, incluindo Wickr Pro, Wickr RAM e Wickr Enterprise.

Os aplicativos de mensagens da empresa permitem que os usuários troquem mensagens criptografadas de ponta a ponta e com conteúdo expirado, incluindo fotos, vídeos e anexos de arquivo. O software está disponível para os sistemas operacionais iOS, Android, Mac, Windows e Linux.

Fonte: AWS & SecurityWeek

Novo ransomware baseado em REvil. Um ator de ameaça parece ter redirecionado o ransomware REvil para criar sua própria família de ransomware e, possivelmente, lançar uma oferta de ransomware como serviço (RaaS).

Também conhecido como Sodinokibi, REvil se tornou uma das famílias de ransomware mais proeminentes lá fora, estando envolvido em um grande número de ataques de alto perfil, incluindo aquele contra a JBS , uma das maiores empresa de processamento de carne do mundo.

REvil é oferecido por um ator de ameaças baseado na Europa Oriental / Rússia rastreado como PINCHY SPIDER, que é conhecido por seu negócio RaaS que anteriormente envolvia o ransomware GandCrab, que foi aposentado em junho de 2019, dois meses após o surgimento de REvil .

Pesquisadores da Secureworks® Contador Threat Unit ™ (CTU) investigaram relatórios e observaram que o ransomware LV tem a mesma estrutura de código como Revil . Essa sobreposição pode indicar que o grupo de ameaças cibercriminosas GOLD SOUTHFIELD que opera REvil vendeu o código-fonte, que o código-fonte foi roubado ou que GOLD SOUTHFIELD compartilhou o código com outro grupo de ameaças como parte de uma parceria. A análise CTU ™ confirmou que o grupo de ameaças GOLD NORTHFIELD , que opera LV, substituiu a configuração de uma versão beta do REvil v2.03 para redirecionar o binário REvil para o ransomware LV.

Os pesquisadores da CTU não observaram anúncios de ransomware LV em fóruns clandestinos até esta publicação. No entanto, variações nos IDs de parceiro e campanha nas configurações de LV e a prática de nomear e envergonhar as vítimas podem indicar que o GOLD NORTHFIELD está lançando uma oferta de ransomware-as-a-service (RaaS).

“A análise [Secureworks Counter Threat Unit] confirmou que o grupo de ameaças GOLD NORTHFIELD, que opera o LV, substituiu a configuração de uma versão beta do REvil v2.03 para redirecionar o binário REvil para o ransomware LV”, dizem os pesquisadores.

Além disso, eles observam que o ransomware LV ainda não foi anunciado em fóruns clandestinos, mas as mudanças nos IDs de parceiro e de campanha, bem como “a prática de nomear e envergonhar as vítimas” sugere que o ator da ameaça está preparando seu próprio RaaS oferecendo que envolve LV.

A análise do ransomware LV revelou estrutura de código idêntica e funcionalidade em comparação com REvil, enquanto as mudanças observadas sugerem o uso de um editor hexadecimal para remover certas características do binário. O adversário também substituiu a configuração REvil pela sua própria. O ator da ameaça também teve que contornar os controles anti-adulteração do REvil.

“Se feito corretamente, o binário será executado com sucesso usando a configuração atualizada do LV. Os arquivos no sistema da vítima serão criptografados com chaves de sessão protegidas pela chave pública do LV e as vítimas serão direcionadas ao site de pagamento do resgate do LV por meio da nota de resgate atualizada ”, diz Secureworks.

Ao visitar o site de pagamento, é solicitada à vítima a chave da nota de resgate. Até o momento, os pesquisadores identificaram três domínios Tor especificados nas notas de resgate do LV, mas as tentativas de inserir as chaves necessárias resultaram em erros de HTTP.

Os pesquisadores também descobriram dois sites de vazamento associados ao ransomware LV e descobriram que o ator da ameaça nomeia e envergonha as vítimas, provavelmente em uma tentativa de coagi-las a pagar o resgate. O adversário também publica capturas de tela de arquivos roubados nos sites de vazamento e ameaça tornar as informações roubadas públicas, a menos que a vítima faça contato dentro de 72 horas.

No entanto, de acordo com a Secureworks, o ator da ameaça ainda não publicou nenhuma informação confidencial roubada de suas vítimas.

Conclusão

A análise da CTU revelou que o ransomware LV não é uma família distinta de ransomware; é um ransomware REvil reaproveitado. Ao modificar o binário de uma família prolífica de ransomware, os atores da ameaça GOLD NORTHFIELD aceleraram significativamente sua maturidade dentro do ecossistema de ransomware. Sem gastar recursos no desenvolvimento de ransomware, o grupo pode operar com mais eficiência do que seus concorrentes, ao mesmo tempo em que oferece a melhor oferta de ransomware da categoria, resultando em um modelo de negócios mais lucrativo. A manipulação não autorizada do REvil pelo GOLD NORTHFIELD provavelmente fará com que o GOLD SOUTHFIELD implemente controles anti-violação adicionais e modifique o armazenamento e processamento da configuração para impedir futuras tentativas de sobrescrever a configuração do REvil.

É muito cedo na evolução do GOLD NORTHFIELD para avaliar a ameaça que ele representa. A capacidade de redirecionar o binário REvil sugere que os atores da ameaça têm capacidades técnicas. Além disso, a complexidade necessária para esse reaproveitamento e as variações de configuração nas amostras de LV sugerem que GOLD NORTHFIELD pode ter automatizado o processo. Embora um RaaS para o ransomware LV pudesse fornecer competição direta para a oferta RaaS do GOLD SOUTHFIELD, a falta de uma infraestrutura confiável e organizada necessária para operar uma oferta RaaS bem-sucedida sugere que o GOLD NORTHFIELD tem que expandir suas capacidades e recursos para competir com outras operações de ransomware.

Indicadores de ameaça

Os indicadores de ameaças na Tabela 2 podem ser usados ​​para detectar atividades relacionadas ao ransomware LV. Os domínios podem conter conteúdo malicioso, portanto, considere os riscos antes de abri-los em um navegador.

Indicadores para esta ameaça.

Fonte: SecurityWeek & SecureWorks