Fornecedores de infraestrutura crítica foram alvo de uma campanha massiva da quadrilha CL0P.
Descobertas três novas vulnerabilidades no software de transferência de arquivos MOVEit, usado globalmente nos setores de saúde, finanças, tecnologia e governo, incluindo 1.700 empresas de software e 3,5 milhões de desenvolvedores. O MOVEit é um software de transferência gerenciada de arquivos (MFT) que criptografa arquivos e usa protocolos de transferência de arquivos seguros para repassar dados dentro de equipes, departamentos e empresas. Ao criptografar arquivos e utilizar protocolos de transferência de arquivos seguros, o MOVEit fornece uma solução supostamente confiável para transferir dados.
Thiago Branquinho, CTO da TI Safe, informa que assim que obtiveram a informação, a primeira medida foi monitorar de perto para saber os passos da CL0P, organização de hackers com membros que falam russo, responsável pelo desenvolvimento do Ransomware. Os invasores exploraram uma falha previamente desconhecida no software de transferência de arquivos, desenvolvido pela Progress Software e utilizado por milhares de clientes nos Estados Unidos e em outras regiões. “O grupo é formado por veteranos e um dos mais conhecidos por prosperar ao explorar vulnerabilidades”, explica Thiago Branquinho.
A TI Safe também fez um alerta aos seus clientes sobre a campanha massiva da CL0P, que anunciou que liberaria centenas de novas vítimas. O grupo postou os nomes das centenas de empresas das quais afirmava ter informações. Autoridades dos EUA relataram ataques de hackers conduzidos pela quadrilha em algumas agências federais. Detalhes sobre os dados roubados e as medidas de mitigação adotadas não foram divulgados.
O MOVEit foi projetado para lidar com informações sensíveis, empregando criptografia nos arquivos antes de enviá-los a destinatários específicos ou grupos. Segundo informações veiculadas pela imprensa especializada, após o início dos ataques, a Progress identificou a vulnerabilidade em seu software e disponibilizou um patch de correção no final de maio. Contudo, nem todos os clientes aplicaram essa atualização. A vulnerabilidade foi amplamente explorada antes de sua divulgação oficial e do patch que foi disponibilizado. Embora o fornecedor afirme ter observado a exploração da vulnerabilidade apenas no final de maio de 2023, vários fornecedores de segurança detectaram indícios de exploração já em março de 2023.
