# H0lyGh0st Ransomware > [!high] Ransomware da Coreia do Norte Focado em PMEs Globais > H0lyGh0st é um ransomware operado pelo grupo norte-coreano DEV-0530 (Storm-0530) desde junho de 2021. Usa dupla extorsão: exfiltra dados antes de criptografar com extensão .h0lyenc e ameaça públicar informações sensíveis. Diferentemente de outras operações de ransomware da DPRK, foca oportunisticamente em pequenas e médias empresas globais para financiar o regime norte-coreano. ## Visão Geral H0lyGh0st é um ransomware desenvolvido e operado pelo grupo norte-coreano DEV-0530 (Storm-0530), com vínculos ao subgrupo PLUTONIUM (Andariel) do [[lazarus-group]]. Ativo desde junho de 2021, o malware se distingue das demais operações de ransomware da DPRK por sua estratégia deliberada de focar em pequenas e médias empresas (PMEs) com postura de segurança deficiente — em vez de grandes corporações ou infraestrutura crítica. O grupo usa dupla extorsão: exfiltra dados, cifra arquivos com extensão `.h0lyenc` e negocia via site .onion na rede Tor, com demandas entre 1,2 e 5 BTC. A distinção operacional do H0lyGh0st reflete a missão de financiamento do regime norte-coreano: PMEs pagam resgates menores mas com menor capacidade de resistência e maior urgência de recuperação. Os setores visados incluem serviços financeiros, manufatura, educação, entretenimento e saúde, com vítimas documentadas na Coreia do Sul e nos EUA. O acesso inicial é obtido principalmente pela exploração de vulnerabilidades em aplicações web expostas, como CVE-2022-26352 no DotCMS. > [!latam] Relevância para Brasil e LATAM > O H0lyGh0st converge duas tendências preocupantes para o Brasil: ransomware como ferramenta de financiamento estatal e foco em **PMEs** com menor capacidade de defesa. O Brasil possui milhões de pequenas e médias empresas nos setores de **saúde**, manufatura e **serviços financeiros** — exatamente o perfil visado pelo DEV-0530. A cultura de "instalar e esquecer" em servidores Windows e a baixa adoção de patching automatizado criam a janela de oportunidade explorada pelo grupo. ## Descrição O H0lyGh0st é um ransomware desenvolvido e operado pelo grupo de ameaça norte-coreano rastreado pela Microsoft como **DEV-0530** (também denominado Storm-0530), com vínculos ao grupo PLUTONIUM (DarkSeoul/Andariel) - um subgrupo do [[lazarus-group]]. O malware foi identificado pela primeira vez em atividade em **setembro de 2021**, embora amostras do código existam desde junho de 2021. Sua estratégia de alvo é distinta das demais operações de ransomware da Coreia do Norte: ao invés de mirar grandes corporações ou infraestrutura crítica, o DEV-0530 foca deliberadamente em **pequenas e médias empresas (PMEs)** com postura de segurança deficiente e alta sensibilidade a tempo de inatividade. O processo de ataque segue o modelo de **dupla extorsão** moderno: os operadores primeiro obtêm acesso ao ambiente alvo (frequentemente explorando vulnerabilidades em aplicações expostas na internet, como a CVE-2022-26352 no DotCMS), realizam movimentação lateral, exfiltram dados sensíveis e só então cifram os arquivos. Após a criptografia, os arquivos têm seus nomes codificados em Base64 e recebem a extensão `.h0lyenc`, e uma nota de resgate `FOR_DECRYPT.html` é criada. A demanda de resgate varia de **1,2 a 5 BTC** (negociável), com comunicação via site .onion hospedado na rede Tor. A narrativa do DEV-0530 é peculiar: o grupo se posiciona como um "Robin Hood" digital, alegando usar os fundos arrecadados para ajudar os pobres - mas o padrão de ataques indica motivação puramente financeira para financiar as atividades do regime norte-coreano. Os setores visados incluem serviços financeiros, manufatura, educação, entretenimento e [[healthcare|saúde]], com vítimas documentadas na Coreia do Sul, Estados Unidos e outros países. Para o Brasil e LATAM, a ameaça do H0lyGh0st é indireta mas real: PMEs brasileiras nos setores de [[financial|serviços financeiros]], [[healthcare|saúde]] e manufatura - frequentemente com recursos limitados de segurança - correspondem exatamente ao perfil de alvo preferido do DEV-0530. A exposição de aplicações web em portas padrão sem patching adequado é o principal vetor de acesso inicial documentado. ## Técnicas Utilizadas | Tática | ID | Técnica | |--------|-----|---------| | Initial Access | [[t1190-exploit-public-facing-application\|T1190]] | Exploração de vulnerabilidades em apps expostos (ex: CVE-2022-26352) | | Exfiltration | [[t1048-exfiltration-over-alternative-protocol\|T1048]] | Exfiltração de dados antes da criptografia | | Impact | [[t1486-data-encrypted-for-impact\|T1486]] | Criptografia de arquivos com extensão .h0lyenc | | Impact | [[t1489-service-stop\|T1489]] | Parada de serviços para possibilitar criptografia | | Persistence | [[t1053-005-scheduled-task\|T1053.005]] | Tarefas agendadas para persistência | | Defense Evasion | [[t1070-indicator-removal\|T1070]] | Remoção de indicadores e logs após criptografia | | C2 | [[t1071-001-web-protocols\|T1071.001]] | Comúnicação via site .onion para negociação | ## Grupos que Usam - [[dev-0530-storm-0530|DEV-0530]] / Storm-0530 - operador principal, Coreia do Norte - Vínculos documentados com [[lazarus-group]] via ferramentas e infraestrutura compartilhadas (grupo PLUTONIUM/Andariel) ## Detecção - Alertar para criação em massa de arquivos com extensão `.h0lyenc` ou alteração massiva de nomes de arquivo com codificação Base64 - indicador de impacto imediato - Monitorar a presença do arquivo `FOR_DECRYPT.html` criado em múltiplos diretórios simultaneamente - assinatura característica do H0lyGh0st - Detectar paradas em massa de serviços Windows críticos (SQL Server, backup agents, VSS) por processos não identificados - técnica pré-criptografia documentada do DEV-0530 - Implementar inventário e patching rigoroso de aplicações web expostas na internet, com especial atenção a CMSs e plataformas de colaboração - CVE-2022-26352 (DotCMS) foi vetor documentado - Monitorar tráfego de rede para nós de saída Tor e domínios .onion - o DEV-0530 usa infraestrutura Tor para comunicação C2 e negociação de resgate ## Relevância LATAM/Brasil O H0lyGh0st representa a convergência de duas tendências preocupantes para o mercado brasileiro: ransomware como ferramenta de financiamento estatal e foco deliberado em PMEs com menor capacidade de defesa. O Brasil possui milhões de pequenas e médias empresas nos setores de [[healthcare|saúde]], manufatura e [[financial|serviços financeiros]] - exatamente o perfil visado pelo DEV-0530. A cultura de "instalar e esquecer" em servidores Windows e a baixa adoção de patching automatizado criam a janela de oportunidade que o grupo norte-coreano explora. Organizações devem implementar varreduras periódicas de vulnerabilidades em ativos expostos e garantir backups offline testados regularmente para mitigar o impacto de ataques de ransomware. ## Referências - [1](https://www.microsoft.com/en-us/security/blog/2022/07/14/north-korean-threat-actor-targets-small-and-midsize-businesses-with-h0lygh0st-ransomware/) Microsoft Security Blog - H0lyGh0st Ransomware (2022) - [2](https://www.picussecurity.com/resource/h0lygh0st-north-korean-threat-group-strikes-back-with-new-ransomware) Picus Security - H0lyGh0st Analysis (2022) - [3](https://www.sentinelone.com/anthology/holyghost/) SentinelOne - HolyGhost Anthology (2022) - [4](https://socprime.com/blog/h0lygh0st-detection-new-ransomware-tied-to-north-korean-apt/) SOC Prime - H0lyGh0st Detection Rules (2022) - [5](https://media.defense.gov/2023/Feb/09/2003159161/-1/-1/0/CSA_RANSOMWARE_ATTACKS_ON_CI_FUND_DPRK_ACTIVITIES.PDF) US CISA/NSA/FBI - DPRK Ransomware Advisory (2023) - [6](https://attack.mitre.org/groups/G1026/) MITRE ATT&CK - DEV-0530 / Storm-0530