As principais notícias de cybersecurity para serem lidas em menos de 3 minutos, todo dia em seu e-mail.

Um servidor web Microsoft Internet Information Services (IIS) de uma agência federal dos EUA foi invadido por hackers que exploraram uma vulnerabilidade crítica de deserialização .NET no componente Progress Telerik UI para ASP.NET AJAX. Os invasores tiveram acesso ao servidor entre novembro de 2022 e início de janeiro de 2023, com pelo menos dois grupos de ameaças aproveitando a vulnerabilidade ( CVE-2019-18935 ) para executar código remoto. O malware instalado no servidor IIS comprometido poderia implantar payloads adicionais, evitando detecção, e abrir shells reversos para manter a persistência. A agência federal em questão falhou em proteger seu servidor Microsoft IIS até a data prevista para correção.

Dados confidenciais da agência norte-americana U.S. Marshals Service (USMS) estão sendo vendidos em fóruns de hacking russos, alegadamente por um hacker que afirma ter roubado centenas de gigabytes de dados de computadores e servidores da agência. O pacote inclui imagens aéreas e fotos de bases militares e outras áreas de alta segurança, cópias de passaportes e documentos de identificação, além de detalhes sobre escutas telefônicas e vigilância de cidadãos. O vendedor afirma que alguns arquivos são classificados como SECRET ou TOP SECRET e que o pacote inclui detalhes sobre testemunhas no programa de proteção de testemunhas.

Pesquisadores divulgaram informações técnicas sobre a vulnerabilidade crítica do Microsoft Outlook para Windows ( CVE-2023-23397 ), que permite que hackers roubem senhas criptografadas remotamente ao receberem um e-mail. A vulnerabilidade tem gravidade 9,8 e afeta todas as versões do Microsoft Outlook no Windows. Um atacante pode usá-la para roubar credenciais NTLM simplesmente enviando um e-mail malicioso. A Microsoft lançou um patch para corrigir a falha, mas ela já foi explorada como uma vulnerabilidade zero-day em ataques do tipo NTLM-relay desde pelo menos meados de abril de 2022. O grupo de hackers russo APT28 tem sido associado à exploração.

Uma operação internacional de aplicação da lei coordenada pela Europol, BKA da Alemanha e FBI dos EUA apreendeu o serviço de mistura de criptomoedas 'ChipMixer', que é usado por hackers, gangues de ransomware e golpistas para lavar seus lucros. A polícia apreendeu quatro servidores, 7 TB de dados e US$ 46,5 milhões em criptomoedas (Bitcoin). O ChipMixer tem sido uma das maiores plataformas de mistura de criptomoedas em operação na dark web desde 2017. A operação torna-se a maior apreensão de ativos de criptomoedas pela BKA até o momento.

O ChatGPT é uma ferramenta de assistente de inteligência artificial (IA) que cria respostas realistas e pode ser usada para criar conteúdo enganoso. Embora o ChatGPT seja um avanço tecnológico, ele pode ser usado para gerar conteúdo que engana indivíduos a pensar que é escrito por uma pessoa real. A capacidade do ChatGPT de gerar respostas rapidamente e com alta qualidade abre a porta para phishing e ataques de engenharia social mais convincentes. As organizações podem se proteger contra o uso indevido do ChatGPT com a ajuda de soluções de segurança, como o Specops Secure Service Desk.

O grupo de hackers Winter Vivern tem como alvo organizações governamentais e provedores de telecomunicações europeus para realizar espionagem. Acredita-se que o grupo é pró-Rússia e Bielorrússia e suas atividades visam atender aos interesses desses governos. Eles operam com recursos limitados, mas compensam com criatividade. Os hackers criaram sites falsos que imitam agências governamentais polonesas e ucranianas, distribuindo arquivos maliciosos para os visitantes. Eles também usam arquivos de planilhas (XLS) com macros maliciosas que lançam PowerShell em seus ataques. O malware Aperetif é usado pelo grupo para exfiltrar arquivos e capturar imagens da tela das vítimas.

Hackers and scammers are taking advantage of the collapse of Silicon Valley Bank (SVB) on March 10, 2023, by registering suspicious domains, creating phishing pages, and conducting business email compromise (BEC) attacks. SVB was the largest bank by deposits in Silicon Valley, California, and its failure impacted many businesses and people in various industries. Threat actors are attempting to contact former clients of SVB to offer fake support packages, legal services, loans, or other services relating to the bank's collapse. Cyber-intelligence firms have warned about SVB-themed threats, including domains hosting cryptocurrency scams and phishing pages attempting to steal personal information.

O LockBit é o grupo de ransomware mais ativo e bem-sucedido do mundo atualmente, com base na Rússia. Ele opera no modelo de Ransomware-as-a-service (RaaS), em que afiliados fazem um depósito para usar a ferramenta e dividem o pagamento do resgate com o grupo. Os alvos do LockBit incluem entidades governamentais e empresas em setores como saúde, serviços financeiros e bens e serviços industriais. O grupo negou envolvimento em um ataque à Royal Mail no Reino Unido, afirmando que foi realizado por um afiliado. Empresas devem garantir que o Managed Detection and Response (MDR) seja usado para entender atividades maliciosas ou anômalas.

O grupo de ciberespionagem Tick foi atribuído com alta confiança a um ataque à uma empresa de prevenção de perda de dados (DLP) do leste asiático que atende a entidades governamentais e militares, por meio de servidores de atualização interna comprometidos. O grupo, que é suspeito de estar alinhado com a China, tem como alvos principais empresas de governo, manufatura e biotecnologia no Japão, além de outras empresas russas, chinesas e singapurenses. Em fevereiro de 2021, o grupo usou as falhas do ProxyLogon no Microsoft Exchange Server para implantar um backdoor em um servidor da web de uma empresa de TI sul-coreana.

O Brasil continua enfrentando um grande problema de roubo de credenciais bancárias por meio de malware, de acordo com o Índice Global de Ameaças da Check Point Research. O Qbot, um cavalo de Troia sofisticado, lidera a lista nacional pelo terceiro mês consecutivo, com altos índices de impacto nas organizações brasileiras. Enquanto isso, a Ucrânia, que sofreu uma invasão russa, continua sendo um alvo popular para cibercriminosos, com ataques de phishing que se passam pela Ukrtelecom JSC. Os setores mais visados por hackers no Brasil em fevereiro foram o governo/militar, saúde e utilidades.

O Ministério da Justiça bloqueou mais de 250 páginas que compartilhavam conteúdo pirata via streaming, como parte da quinta fase da 'Operação 404'. A ação visa acabar com serviços que violam direitos autorais no país e incluiu sites piratas de streaming e jogos, aplicativos de música e canais de mensagem usados para divulgar músicas inéditas. A operação já derrubou mais de 1.500 sites. Todas as páginas serão "apagadas" dos sites de busca e perfis cadastrados nas redes sociais também serão desativados. Vale lembrar que compartilhar conteúdo protegido é crime que gera multa e até quatro anos de prisão.

A Agência Brasileira de Inteligência (Abin) monitorou secretamente a localização de cidadãos em todo o país durante os três primeiros anos do governo Bolsonaro, utilizando o software israelense FirstMile. A ferramenta permitia o monitoramento de até 10 mil celulares a cada 12 meses, sem qualquer protocolo oficial. A utilização do software gerou questionamentos internos e relatos de utilização até mesmo em funcionários da agência, e pode violar o direito à privacidade. O software foi adquirido ainda no governo Michel Temer, por R$ 5,7 milhões, com dispensa de licitação.

Cibercriminosos estão criando cerca de 15 sites falsos por dia para se passarem por lojas e realizar fraudes na venda de produtos, obtendo dados pessoais, financeiros e de cartões de crédito. A temporada de descontos do Dia do Consumidor, que acontece em 15 de março, está sendo visada pelos criminosos digitais, que vendem layouts de páginas falsas em fóruns, grupos de mensageiros instantâneos e até mesmo em vídeos no YouTube. A modalidade de pagamento preferida é o Pix, e os golpistas oferecem preços abaixo do mercado para produtos nessa modalidade.

Mais de um terço dos ataques cibernéticos no Brasil envolve o uso de malware para roubo de dados, com o trojan bancário Qbot liderando a lista das ameaças mais presentes no país pelo terceiro mês consecutivo. O setor governamental e militar brasileiro foi o mais atingido em fevereiro, seguido pelo de saúde e empresas de serviços essenciais. O malware Anubis ganhou destaque por acompanhar centenas de aplicativos maliciosos publicados na loja Google Play, parte de uma campanha de grande escala para roubo de dados, espionagem e ransomware.

A SAP lançou atualizações de segurança para 19 vulnerabilidades, cinco delas classificadas como críticas. As falhas corrigidas afetam muitos produtos, mas as vulnerabilidades críticas afetam a plataforma de inteligência empresarial SAP Business Objects e o SAP NetWeaver. As vulnerabilidades corrigidas incluem um problema de injeção de código, divulgação de informações e manipulação de dados, além de problemas de travessia de diretório e execução de comando. A SAP é o maior fornecedor de ERP do mundo e é comumente usada por grandes organizações, tornando-se um excelente alvo para ameaças cibernéticas.

A empresa de segurança cibernética Rubrik confirmou que seus dados foram roubados usando uma vulnerabilidade zero-day na plataforma de transferência de arquivos segura Fortra GoAnywhere. O ataque foi realizado pelo grupo de ransomware Clop, que afirmou ter invadido 130 organizações para roubar dados ao longo de dez dias. A vulnerabilidade foi corrigida pela Fortra em fevereiro, mas a Clop continuou a explorá-la. A Rubrik declarou que o ataque foi contido em um ambiente de teste de TI não produtivo e que nenhum dado do cliente foi afetado.

A Microsoft corrigiu uma vulnerabilidade de dia zero no Outlook ( CVE-2023-23397 ) explorada por um grupo de hackers ligado ao serviço de inteligência militar da Rússia GRU para atacar organizações europeias. A vulnerabilidade foi explorada para roubar credenciais NTLM e mudar as permissões das pastas da caixa de correio do Outlook, permitindo a exfiltração de e-mails de contas específicas. A Microsoft recomenda a aplicação imediata do patch ou a adição de usuários ao grupo de usuários protegidos no Active Directory e o bloqueio do SMB (TCP porta 445) como uma mitigação temporária. A vulnerabilidade afeta todas as versões suportadas do Outlook para Windows.

A Microsoft corrigiu outra vulnerabilidade zero-day usada por atacantes para contornar o serviço anti-malware baseado em nuvem Windows SmartScreen e implantar cargas úteis do ransomware Magniber sem levantar bandeiras vermelhas. Os atacantes estavam usando arquivos MSI maliciosos assinados com uma assinatura Authenticode especialmente criada para explorar essa vulnerabilidade de bypass de recursos de segurança. A vulnerabilidade foi descoberta pelo Google Threat Analysis Group (TAG), que a informou à Microsoft em 15 de fevereiro. Os arquivos maliciosos foram baixados mais de 100.000 vezes desde janeiro de 2023, com mais de 80% dos usuários na Europa.

O FBI emitiu um alerta sobre o aumento de esquemas de investimento em criptomoedas que visam os americanos, causando mais de US$ 2 bilhões em criptomoedas perdidas para cibercriminosos no ano passado. Os fraudadores abordam as vítimas por meio de plataformas de namoro, aplicativos de mensagens ou mídias sociais, criando confiança e apresentando um esquema de investimento que eventualmente permitirá esvaziar as carteiras cripto das vítimas. Esses golpes se tornaram cada vez mais sofisticados, usando manipulação psicológica para atrair mais vítimas a se separarem de seu dinheiro.

O grupo de ameaças cibernéticas YoroTrooper tem promovido campanhas de espionagem cibernética desde pelo menos junho de 2022, visando governos e organizações de energia em países da Comunidade dos Estados Independentes (CEI). Segundo a Cisco Talos, o grupo comprometeu contas de uma agência crítica da União Europeia envolvida em saúde, da Organização Mundial da Propriedade Intelectual (OMPI) e de várias embaixadas europeias. As ferramentas do YoroTrooper incluem uma combinação de ladrões de informações de commodities e personalizados, cavalos de Troia de acesso remoto e malwares baseados em Python. A infecção ocorre por meio de e-mails de phishing contendo anexos LNK maliciosos e documentos PDF.