Anexos, links e ransomware recebidos por e-mail

Ransomware: o que o gateway pode fazer, e o que não pode

O Cybermalveillance.gouv.fr descreve o ransomware como um ataque que bloqueia o acesso a um sistema ou criptografa os dados, e às vezes ameaça divulgá-los, em troca de um resgate. O serviço observa que a intrusão geralmente ocorre por uma falha ou por um acesso remoto mal protegido, ou pelo comprometimento de uma conta ou de uma máquina por meio de phishing ou de um programa malicioso.

O e-mail não é a única porta de entrada, mas a ANSSI o aponta como “o principal vetor de infecção da estação de trabalho” (tradução). O mesmo órgão cita “o envio de anexos maliciosos para explorar as vulnerabilidades de uma estação de trabalho para fins de extorsão ou de espionagem” (tradução). É também uma entrada que pode ser filtrada antes de chegar à caixa. O roteiro típico por e-mail:

1. uma mensagem com um anexo ou um link;
2. uma macro habilitada, ou uma senha digitada em uma página falsa;
3. um acesso à rede ou às contas;
4. mais tarde, às vezes semanas depois, a criptografia dos arquivos.

Exemplo, a título de ilustração. Um colaborador recebe uma “fatura em aberto” em formato Word. O documento exibe uma faixa borrada e pede para habilitar o conteúdo para lê-lo. Se ele o fizer, a macro baixa um programa que dá acesso à estação. Os arquivos do servidor só serão criptografados mais tarde. Se o anexo for removido na chegada, essa cadeia não começa; se ele passar, tudo depende do reflexo de não habilitar a macro e, depois, do backup.

O gateway age na primeira etapa. Ele não vê uma intrusão por acesso remoto, nem uma conta já aberta com uma senha roubada em outro lugar. Ele não restaura nada.

O Cybermalveillance.gouv.fr recomenda backups regulares, cópias desconectadas, restaurações verificadas e atualizações aplicadas sem demora. Também recomenda não pagar o resgate. Para os seus arquivos, a questão é tratada em ransomware: proteger e restaurar uma gestão eletrônica de documentos (GED).