Password spray em RDP exposto evolui em 118 horas até a implantação do ransomware RansomHub
O DFIR Report reconstruiu uma intrusão iniciada em novembro de 2024 por password spray contra um servidor RDP exposto à internet, que evoluiu ao longo de seis dias até a implantação do ransomware RansomHub. O invasor combinou Mimikatz, ferramentas de varredura de rede, software de RMM legítimo (Atera, Splashtop) e Rclone para exfiltrar cerca de 2 GB de dados antes de encriptar o ambiente. O relatório detalha cada fase da cadeia de ataque com IOCs e mapeamento MITRE ATT&CK.
A intrusão começou em novembro de 2024 com um ataque de password spray de cerca de quatro horas contra um servidor RDP exposto, partindo de dois IPs do mesmo provedor já sinalizados no AbuseIPDB. O invasor conseguiu autenticar em seis contas distintas e, horas depois, usou um terceiro IP para logar com uma conta de privilégios elevados — evidência de que a fase de força bruta e a fase de exploração da credencial obtida foram deliberadamente separadas, provavelmente para dificultar a correlação por analistas de SOC.
Com o acesso privilegiado, o operador extraiu credenciais da memória do LSASS usando Mimikatz (sekurlsa::logonpasswords) e o utilitário Nirsoft CredentialsFileView para decifrar segredos salvos localmente, deixando rastro no Event ID 5379. Em seguida, combinou comandos nativos do Windows (net, nltest, nslookup) com Advanced IP Scanner e SoftPerfect NetScan — este último varrendo prioritariamente as portas 135, 445, 3389 e 137 — para mapear a rede antes de se mover lateralmente via RDP até os controladores de domínio, onde chegou a abrir consoles MMC de administração (dsa.msc, dnsmgmt.msc).
Para garantir persistência, instalou duas ferramentas de RMM (Atera e Splashtop) — escolha comum em intrusões de ransomware porque esse tipo de software é assinado, "legítimo" aos olhos de antivírus, e raramente bloqueado por políticas corporativas. A exfiltração foi feita com Rclone, disparado por um script VBS que chamava um .bat, copiando cerca de 2,03 GB de documentos, planilhas, e-mails e imagens via SFTP na porta 443 para um servidor externo — uso de porta padrão HTTPS para se camuflar em tráfego legítimo.
No sexto dia, o ataque culminou na execução de um binário do RansomHub que desligou máquinas virtuais Hyper-V, apagou shadow copies (vssadmin Delete Shadows /all /quiet), limpou logs de eventos (wevtutil cl) e se propagou via SMB usando nomes de arquivo e serviços aleatórios para dificultar a detecção. O tempo total até a encriptação (TTR) foi de aproximadamente 118 horas — uma janela relativamente longa que, na prática, deixa múltiplas oportunidades de detecção caso os defensores monitorem os TTPs específicos descritos (T1110.003, T1003.001, T1570, T1486), reforçando o valor de relatórios de intrusão detalhados como guia de caça a ameaças e de resposta a incidentes.