Novo ransomware faz bypass em secure boot de UEFI

há 1 mês 20

Pesquisadores da ESET anunciaram a descoberta de um novo ransomware, apelidado de HybridPetya, que combina características dos malwares Petya e NotPetya. A ameaça se destaca por sua capacidade de contornar o mecanismo de Secure Boot em sistemas com UEFI, explorando uma vulnerabilidade para criptografar informações essenciais do sistema e bloquear o acesso aos dados da vítima.

O ataque é executado por meio de uma arquitetura de duas partes, um instalador e um bootkit. O malware explora a vulnerabilidade CVE-2024-7344 para introduzir um componente malicioso na partição de sistema EFI. Para garantir sua execução na inicialização seguinte do sistema, o instalador provoca deliberadamente uma falha, resultando na “tela azul”. Uma vez ativo, o bootkit utiliza o algoritmo Salsa20 para criptografar a Tabela Mestra de Arquivos (MFT) de todas as partições NTFS, enquanto exibe uma falsa mensagem de verificação de disco para enganar o usuário.

As primeiras amostras do código malicioso foram identificadas na plataforma VirusTotal em fevereiro de 2025. A vulnerabilidade utilizada pelo HybridPetya já havia sido corrigida pela Microsoft em uma atualização de segurança em janeiro de 2025. Após a conclusão da criptografia, o ransomware exibe uma nota de resgate exigindo o pagamento de US$ 1.000 em Bitcoin.

Apesar da exigência de resgate, a carteira de Bitcoin associada aos ataques recebeu apenas cerca de US$ 183 entre fevereiro e maio de 2025, e atualmente está vazia. Diante da ausência de infecções registradas em ambientes reais, os pesquisadores da ESET consideram a possibilidade de que o HybridPetya seja um projeto de demonstração ou um experimento, podendo estar relacionado a um protótipo anterior de uma versão UEFI do Petya.

Ler artigo completo