25/10/2017

Segundo a Kaspersky, fabricante russa de antivírus, esse ataque não usa explorações (exploits). É o que eles denominam de drive-by attack: as vítimas baixam um falso instalador Adobe Flash Player de sites infectados e iniciam manualmente o arquivo .exe, infectando os seus PCs. Vale notar que este é um ataque que funciona em computadores Windows.

A análise realizada pela Trend Micro confirma essa informação. O Bad Rabbit se espalha através de ataques que levam a um instalador de falso Flash "install_flash_player.exe". “Os sites comprometidos são injetados com um script que contém um URL contaminada (hxxp: // 1dnscontrol [.] Com / flash_install), que é inacessível até o momento da publicação. Observamos alguns sites comprometidos da Dinamarca, Irlanda, Turquia e Rússia, que apresentaram o falso instalador do Flash”, informa a Trend Micro em seu blog.

Uma vez que o instalador falso é clicado, ele irá liberar o arquivo criptografado infpub.dat usando o processo rundll32.exe, juntamente com o arquivo decryptor dispci.exe. Como parte de sua rotina, Bad Rabbit usa um trio de arquivos referenciando o seriado Game of Thrones, começando com rhaegal.job, responsável por executar o arquivo decryptor, bem como um segundo arquivo de trabalho, drogon.job, que é responsável para desligar a máquina da vítima. O ransomware procederá então a criptografar arquivos no sistema e exibir a nota de resgate.

Para evitar o problema, se você entrar em algum site que solicite a atualização do Flash para ver um vídeo ou ter acesso a algum conteúdo, não a faça via pop-ups do próprio site. Você pode descobrir se está utilizando a versão mais recente no próprio site da Adobe e obter o download seguro e original do Flash, caso seja necessário seu uso. Além disso, atualize as versões do seu antivírus.
 
Fontes: Kapersky Lab, Trend Micro e Tech Tudo