O vírus chega por meio de um download falso do Flash Player
Os responsáveis pelo ataque invadiram diversos sites para incluir neles um código que leva alguns dos visitantes a um download falso do Adobe Flash Player. A fabricante de antivírus Eset divulgou uma lista de 23 sites que se sabe que foram adulterados para contaminar os visitantes, mas é possível que outros sites além destes 23 também estejam envolvidos.
A maioria das páginas é da Rússia e da Ucrânia, mas há também um endereço do Japão, um da República Checa, um da Romênia e alguns endereços voltados a internautas da Bulgária.
Nenhuma vulnerabilidade é explorada no navegador do internauta. A vítima deve baixar executar o arquivo oferecido. Também é possível que nem todos os visitantes recebam a janela de download, porque navegador envia algumas informações para um servidor de controle, que pode determinar quem receberá o golpe.
Golpe que espalha o Bad Rabbit com download falso do Flash Player. (Foto: Reprodução/Eset)
Vale observar que os principais navegadores modernos, como o Chrome e o Edge, já incluem o Flash Player e, portanto, nenhum aviso sobre atualização do plug-in será verdadeira. Em outros navegadores, embora a instalação do Flash possa ser necessária, atualizações ela deve ser sempre feita a partir do site da Adobe.
Depois de contaminar o computador, o Bad Rabbit se espalha pela rede
De acordo com a análise da fabricante de antivírus Eset, o Bad Rabbit é capaz de se espalhar para outros computadores da rede usando credenciais de acesso. O vírus traz no código alguns pares de usuários e senhas comuns para tentar acessar as outras máquinas, mas também usa uma ferramenta para roubar a senha de acesso do próprio usuário do computador.
Houve uma especulação de que o vírus poderia utilizar a brecha EternalBlue (a mesma que foi usada pelo WannaCry), mas isso não foi observado.
O código do Bad Rabbit tem semelhanças com o ExPetr/NotPetya
Os especialistas consideram que há bastante semelhança entre o Bad Rabbit e o víru NotPetya, também chamado de ExPetr O NotPetya atacou empresas na Europa, principalmente na Ucrânia, a partir do sistema de atualização automática de um programa ucraniano de contabilidade. O ataque ocorreu em junho.
O Bad Rabbit tem diferenças consideráveis, no entanto. A criptografia do disco rígido é realizada usando um componente do programa legítimo de código aberto DiskCryptor. Também é possível que a criptografia do Bad Rabbit possa sim ser revertida, enquanto o NotPetya – intencionalmente ou não – destruía a chave que permitiria recuperar os dados.
A maioria das vítimas está na Rússia
Segundo a Kaspersky Lab e a Eset, a maioria das vítimas está na Rússia. A Eset aponta que 65% dos sistemas infectados são russos. Também há registro de sistemas infectados na Ucrânia, Turquia e Japão.
Até o momento, não há casos registrados no Brasil.
O Bad Rabbit age como um vírus de resgate
Um vírus de resgate se caracterizada pelo “sequestro” das informações armazenadas no computador e a exigência de um pagamento para que seja recebida uma chave capaz de desbloquear os dados.
O Bad Rabbit se encaixa nessa definição e bloqueia não só os arquivos, como todo o computador. É a principal semelhança dele com os vírus Petya e NotPetya.
O valor de resgate solicitado pelo Bad Rabbit em Bitcoin é de 0,05 BTC, o que atualmente equivale a cerca de R$ 900.
Página de resgate do Bad Rabbit na rede Tor solicitando pagamento de 0,05 Bitcoin. (Foto: Reprodução/Eset)
O nome Bad Rabbit foi dado pelos criminosos
Muitos vírus são batizados com nomes diferentes daqueles que são dados pelos criminosos. Por exemplo, o WannaCry usava o nome de “Wana Decryptor”.
“Bad Rabbit” é exatamente o nome que foi usado pelos criminosos na página de pagamento do resgate.
O QUE AINDA É DÚVIDA SOBRE O BAD RABBIT
1. Não há consenso sobre o ataque ser direcionado
Segundo a Kaspersky Lab, o ataque parece ter sido direcionado contra alvos corporativos.
Já na avaliação da Palo Alto Networks, o ataque não parece ter nenhum alvo específico.
Embora se saiba que a página que distribui o vírus tenha capacidade de “escolher” minimamente os alvos, não se sabe se de fato alguém está excluído de receber o ataque.
2. Os autores do ataque não são conhecidos
Como muitos vírus, não se sabe quem está por trás do Bad Rabbit.
Uma especulação chegou a apontar que o NotPetya seria sido obra do governo russo contra sistemas da Ucrânia. Essa visão ganhou com as acusações feitas por autoridades da Ucrânia de que a Rússia seria responsável pelo ataques que causaram blecautes no país.
Explicações sobre a origem, tanto do Bad Rabbit como do ExPetr/NotPetya, teriam de explicar também a semelhança entre os códigos usados.
3. Apesar de semelhanças, praga pode ser nova
Embora o Bad Rabbit e o NotPetya tenham semelhanças, é possível que a praga seja diferente o bastante para ser considerada um vírus novo.
O método de criptografia usado pelo novo vírus ainda não foi completamente estudado, mas tudo indica que é diferente do vírus anterior. O NotPetya também fazia uso da falha EternalBlue para se espalhar dentro das redes das empresas atacadas, o que o novo vírus também não faz.
Quando o vírus NotPetya foi descoberto, em junho, especialistas inicialmente consideraram que a praga era uma nova versão do vírus Petya. Depois, analistas de virus passaram a considerar que o código tratava-se de uma nova praga por conta das diferenças significativas em relação ao Petya. Da mesma forma, a descoberta de novas diferenças no comportamento do Bad Rabbit pode abrir um vão ainda maior entre ele e o NotPetya.
4. Não há confirmação de que pagar o resgate recupera os arquivos
A maioria dos vírus de resgate evita causar danos ao sistema operacional, já que o pagamento da recompensa costuma ser solicitado em Bitcoin via Tor. Para fazer pagamentos nessas condições, a vítima precisa preferencialmente de um computador funcionando.
O Bad Rabbit, porém, inutiliza o computador. Além disso, ele exige que a vítima digite manualmente um código longo na página de recuperação. Mesmo quem quiser pagar a recompensa terá dificuldade para realizar o processo.
Segundo a Palo Alto Networks, não há relatos até o momento de que o pagamento da recompensa tenha permitido recuperar os arquivos.