Uma nova e sofisticada operação de ransomware, batizada de Hakuna Matata, está infectando sistemas operacionais Windows através de documentos empresariais maliciosos. Uma vez ativado, o ataque ocorre em quatro etapas coordenadas, permitindo a vigilância dos dispositivos comprometidos e o roubo de dados financeiros.
Identificada por analistas de segurança, a ameaça se destaca por abusar exclusivamente de funcionalidades legítimas do Windows, ferramentas administrativas nativas e plataformas de nuvem pública, como GitHub, Dropbox e Telegram. Essa tática permite que o ransomware permaneça indetectável em meio ao tráfego corporativo normal.
A campanha integra o ransomware Hakuna Matata, o trojan bancário Amnesia RAT e ferramentas de bloqueio de sistema. A sequência de ataque desativa sistematicamente todas as defesas do sistema antes de executar suas cargas destrutivas.
Como funciona a cadeia de infecção
O processo de invasão geralmente começa com arquivos compactados que contêm atalhos LNK maliciosos, disfarçados como documentos contábeis corporativos. Quando uma vítima executa o arquivo, acreditando ser uma planilha legítima, o atalho inicia o PowerShell. Este, por sua vez, usa um desvio da política de execução para baixar silenciosamente um script ofuscado, hospedado no GitHub.
O carregador inicial estabelece persistência no sistema, gera documentos falsos para distrair o usuário e inicia a comunicação com os invasores através da API do Telegram Bot, confirmando o sucesso da infecção. Essa abordagem minimiza a detecção baseada em assinatura, pois todo o tráfego de rede se apresenta como legítimo.
Defendnot neutraliza Microsoft Defender antes do ataque
Um componente crítico dessa campanha é o uso do Defendnot, uma ferramenta de pesquisa originalmente criada para demonstrar vulnerabilidades do Windows Security Center. Os cibercriminosos transformaram essa ferramenta legítima em uma arma para desativar sistematicamente o Microsoft Defender.
O Defendnot registra um produto antivírus falso no sistema e explora as presunções de confiança do Windows para forçar o desligamento automático do Defender. O sistema operacional, ao identificar a presença de outro antivírus “instalado”, desativa suas próprias proteções para evitar conflitos, deixando a máquina completamente vulnerável.
Malware opera em quatro fases destrutivas
Com o Microsoft Defender neutralizado, o malware avança por quatro fases operacionais distintas:
- 1. Neutralização Defensiva: O malware imediatamente desabilita ferramentas administrativas críticas, destrói pontos de restauração do sistema e sequestra associações de arquivos. Isso impede que a vítima execute aplicativos legítimos, acesse ferramentas de recuperação ou restaure o sistema a um estado anterior.
- 2. Reconhecimento e Vigilância: Nesta etapa, são implantados módulos de captura de tela que coletam evidências visuais da atividade do usuário. Essas ferramentas monitoram continuamente as ações da vítima no computador, identificando dados sensíveis, credenciais e informações financeiras para extração futura.
- 3. Bloqueio Abrangente do Sistema: Os invasores implementam um bloqueio total do computador através de restrições que impedem completamente o uso normal. O WinLocker bloqueia o sistema operacional, exibindo temporizadores de contagem regressiva que pressionam psicologicamente as vítimas a contatar os criminosos para negociação de resgate.
- 4. Roubo de Dados e Criptografia: A fase final coordena simultaneamente o roubo de dados e a criptografia de arquivos. O Amnesia RAT estabelece acesso remoto persistente e extrai credenciais armazenadas em navegadores, carteiras de criptomoedas e informações bancárias. Enquanto isso, o ransomware Hakuna Matata criptografa todos os arquivos do usuário, adicionando a extensão “NeverMind12F” e tornando os dados inacessíveis sem a chave de descriptografia controlada pelos atacantes.
Abuso de plataformas legítimas dificulta detecção
A sofisticação técnica dessa campanha reside na exploração inteligente de ferramentas e serviços completamente legítimos. Ao hospedar scripts maliciosos no GitHub, usar Dropbox para distribuição de cargas e comunicar-se através da API do Telegram Bot, os criminosos conseguem misturar tráfego malicioso com atividades corporativas normais.
Sistemas de detecção tradicionais, baseados em assinatura, encontram dificuldades em identificar essas ameaças, pois todas as conexões de rede parecem ser acessos legítimos a plataformas amplamente utilizadas por empresas. O PowerShell, uma ferramenta administrativa nativa do Windows, executa todo o processo inicial sem acionar alertas de segurança. Essa abordagem de “viver da terra” (Living off the Land) permite que os atacantes permaneçam ocultos por períodos prolongados, ampliando o impacto antes que as vítimas percebam qualquer atividade suspeita.
Como se proteger da ameaça
Especialistas recomendam as seguintes medidas de proteção para evitar essa campanha de difícil identificação:
- Desconfie de documentos inesperados: Nunca abra arquivos compactados ou documentos empresariais recebidos de fontes não verificadas, mesmo que pareçam legítimos. Confirme sempre com o remetente por um canal separado antes de extrair ou executar qualquer arquivo.
- Monitore comportamentos anômalos: Bateria do laptop drenando rapidamente, ventiladores operando constantemente, lentidão inexplicável ou processos desconhecidos no Gerenciador de Tarefas podem indicar malware em execução em segundo plano.
- Mantenha backups offline: Armazene cópias de segurança de arquivos críticos em dispositivos desconectados da rede. O ransomware não pode criptografar backups que não estão acessíveis online no momento do ataque.
- Use soluções de segurança multicamadas: Confie em proteções que vão além do antivírus tradicional, incluindo firewalls, detecção comportamental e monitoramento de rede. O Microsoft Defender sozinho mostrou-se insuficiente contra essa campanha.
- Implemente políticas de execução restritas: Configure o PowerShell e outras ferramentas administrativas para exigir assinaturas digitais válidas antes de executar scripts. Esta medida dificulta significativamente ataques que dependem de desvios de política de execução.