A paralisação do progresso do ransomware é mais uma utopia, do que algo que possa ocorrer a qualquer momento no futuro próximo, dada a rentabilidade impensável destas ameaças para os intervenientes cibernéticos com más intenções que os distribuem. Ultimamente, observamos que os vírus de codificação mudaram rapidamente para um modelo afiliado, que foi uma jogada que muitos especialistas teriam achado ser irrealista, há somente alguns meses antes. E, agora, o evento sofisticado mais recente é um ransomware que fala. Esta funcionalidade está incorporada no código de Cerber, um recém-chegado no domínio extorsão digital. O Trojan codifica ficheiros para além da recuperação normal, e oferece-se para resgatar os dados através do envio de 1,24 Bitcoins para a carteira digital segura dos criminosos. Embora possa parecer indesejável, pagar mais de €450 como o resgate é, infelizmente, a única forma segura para aceder novamente aos ficheiros pessoais afetados.
A forma como o Cerber é promovido depende de quem realmente se envolve na distribuição do mesmo. A questão é a seguinte – ele é um dos Ransomware de Service, ou das campanhas de Raas. Isto significa que quaisquer pessoas com más intenções podem obter o código deste malware em certos recursos da darknet, e subsequentemente partilhar os resgates recebidos com o desenvolvedor. A forma mais comum de difundir estas pragas é através de emails de phishing com ficheiros de extração automática como anexos. Quando um é aberto, o vírus é executado em poucos segundos. Ele encontra todos os ficheiros do disco rígido e da rede interna que correspondem a uma gama predefinida de formatos. Todas estas correspondências ficam codificadas com uma cifra AES forte.
Os ficheiros codificados são fáceis de detetar: todos eles ficam com a extensão .cerber, e os nomes dos ficheiros são alterados de modo a ficarem irreconhecíveis. Ao dar uma olhadela numa pasta arbitrária como esta, o utilizador também reparará nas instruções de resgate. Há três delas em cada diretório: # Decrypt My Files #.txt, # Decrypt My Files #.html, e # Decrypt My Files #.vbs. Quando aberta, a instrução de resgate VBS produz uma mensagem de áudio com instruções, que parece ser inteligência artificial em ação, mas na realidade, são simplesmente algumas linhas de código.
A ligação da porta Tor indicada nas orientações de recuperação indica um site intitulado “Cerber Decryptor”. As vítimas poderão selecionar o seu idioma preferido, e depois, ir para a parte financeira deste esquema. A página também mostra um relógio que efetua a contagem regressiva de 7 dias, após os quais o resgate aumenta. Mais uma vez, os profissionais de segurança até agora ainda não descobriram quaisquer mecanismos eficientes para restaurar os ficheiros. Porém, vale a pena experimentar algumas técnicas em termos de recuperar alguns dos dados bloqueados.