Novo ransomware SETTRA combina MeshAgent e BYOVD para atacar sistemas Windows
Pesquisadores identificaram uma campanha de ransomware denominada SETTRA, direcionada a ambientes Windows e baseada na combinação de duas técnicas perigosas: o uso indevido de uma ferramenta legítima de administração remota e a exploração de um driver vulnerável para neutralizar mecanismos de segurança.
Os incidentes foram analisados pela Huntress e ocorreram em organizações de setores distintos. O primeiro caso atingiu uma empresa ligada a serviços ao consumidor e ao varejo, em julho. O segundo foi registrado em uma indústria, em setembro. Embora os ataques apresentem características semelhantes, os investigadores não conseguiram confirmar exatamente como os criminosos obtiveram o acesso inicial às redes.
Entre as possibilidades observadas estão o uso de uma VPN com credenciais previamente roubadas ou a exploração de contas comprometidas. Isso reforça a importância de proteger não apenas os servidores internos, mas também os pontos de entrada remota utilizados por funcionários, prestadores de serviço e fornecedores.
MeshAgent é usado para manter o acesso
Depois de entrar no ambiente corporativo, os invasores instalaram o MeshAgent, um software legítimo empregado em atividades de monitoramento, suporte e gerenciamento remoto. A ferramenta permitiu executar comandos, controlar máquinas e ampliar a presença dentro da rede sem que os criminosos precisassem depender exclusivamente de um código malicioso desenvolvido por eles.
Esse tipo de abuso é conhecido como “living off the land”, ou seja, a utilização de recursos confiáveis e já presentes no sistema para realizar ações maliciosas. Como aplicações de administração remota costumam ser permitidas pelas equipes de TI, sua presença pode não gerar alertas imediatos.
O MeshAgent também pode facilitar a movimentação lateral, a manutenção do acesso e a execução de tarefas em diferentes dispositivos. Por isso, a simples identificação de sua instalação não deve ser tratada automaticamente como atividade legítima. É necessário verificar quem autorizou o software, em quais máquinas ele foi instalado e quais comandos foram executados.
Abuso de driver vulnerável desativa defesas
A segunda etapa da operação utiliza a técnica BYOVD, sigla em inglês para “Bring Your Own Vulnerable Driver”, ou “traga seu próprio driver vulnerável”. Nesse método, o atacante instala um driver legítimo, mas com falhas conhecidas, para obter privilégios elevados e interferir em componentes de proteção do sistema.
No ataque registrado em setembro, os pesquisadores encontraram o arquivo `gdrv.sys`. Esse driver pode ser explorado para acessar áreas sensíveis do Windows e interromper serviços de segurança. Com as defesas desativadas, o ransomware ganha melhores condições para executar a criptografia e dificultar sua detecção.
A técnica é especialmente preocupante porque o arquivo pode apresentar uma assinatura válida ou estar associado a um fabricante conhecido. Assim, soluções de segurança que avaliam apenas a origem ou a assinatura do driver podem não bloquear a ameaça. O monitoramento também precisa considerar o comportamento do componente e a tentativa de carregá-lo em momentos incomuns.
Preparação para impedir a recuperação
Antes de iniciar a criptografia, os operadores do SETTRA adotam medidas para reduzir as chances de recuperação. Entre as ações identificadas estão a limpeza dos registros de eventos do Windows, a desativação do ambiente de recuperação do sistema e a remoção de partições destinadas à restauração.
Os criminosos também sobrescrevem o espaço livre do disco. Esse procedimento pode dificultar a recuperação de arquivos apagados e aumentar o impacto do incidente, principalmente em máquinas que não possuem cópias externas ou backups adequadamente protegidos.
A combinação dessas ações demonstra que o objetivo não é apenas bloquear documentos. O grupo procura eliminar evidências, interromper mecanismos de restauração e pressionar a vítima a negociar rapidamente, já que os métodos convencionais de recuperação deixam de funcionar.
Extensões e nota de resgate
Os arquivos afetados receberam a extensão `.locked` no primeiro incidente analisado. No segundo, os criminosos utilizaram `.locked_wip`. O executável do ransomware foi nomeado com base no domínio da organização atacada, uma característica que pode ajudar na investigação e na criação de regras de detecção.
A mensagem de extorsão foi armazenada em arquivos chamados `RESTORE_FILES.txt`, distribuídos por diferentes diretórios. A presença repetida desse arquivo, especialmente acompanhada por alterações em grande volume de documentos, encerramento de serviços de segurança e carregamento de drivers incomuns, deve ser tratada como um sinal de comprometimento.
Como reduzir o risco de ataques semelhantes
A proteção começa pelo acesso remoto. VPNs devem utilizar autenticação multifator, políticas de senha resistentes e regras que limitem o acesso por localização, horário, dispositivo ou função. Contas administrativas não devem ser usadas para atividades rotineiras, e credenciais sem utilização precisam ser removidas imediatamente.
Também é importante controlar rigorosamente ferramentas de gerenciamento remoto. A empresa deve manter um inventário atualizado dos softwares autorizados, bloquear instalações não aprovadas e registrar as conexões realizadas por administradores e prestadores de serviço. Aplicações legítimas não podem ser consideradas confiáveis apenas por sua reputação.
Os drivers precisam ser monitorados com políticas de bloqueio e listas de permissão. Recursos de segurança do Windows, como proteção contra drivers vulneráveis, devem permanecer ativados sempre que possível. Atualizações de sistemas, ferramentas de segurança e componentes de terceiros também reduzem a superfície de ataque.
Backups são outra camada essencial. As cópias devem permanecer separadas da rede de produção, protegidas contra alterações indevidas e testadas regularmente. Uma estratégia eficiente deve incluir versões históricas, controles de acesso independentes e procedimentos documentados para restauração.
A coleta centralizada de registros pode dificultar a ação dos invasores de apagar evidências. Os eventos de autenticação, uso de VPN, instalação de serviços, carregamento de drivers e execução de ferramentas remotas devem ser enviados para um ambiente com acesso restrito e retenção adequada.
Por fim, os planos de resposta precisam ser exercitados antes de uma crise real. Simulações ajudam a definir quem deve isolar os equipamentos, bloquear contas, preservar evidências, acionar a direção e comunicar clientes ou autoridades. Quanto mais rápido a organização identificar a intrusão, menores serão as chances de o SETTRA alcançar servidores críticos e backups conectados.