TugaTech

Categoria: ransomware

  • Ataques de ransomware exploram fraca segurança em instalações do TeamViewer

    Ataques de ransomware exploram fraca segurança em instalações do TeamViewer

    Ataques de ransomware exploram fraca segurança em instalações do TeamViewer

    Um grupo de investigadores da empresa de segurança Huntress revelou recentemente a descoberta de um novo formato de ataque, que se encontra a explorar instalações inseguras do TeamViewer.

    O TeamViewer é uma popular aplicação de acesso remoto, que permite aos utilizadores acederem rapidamente aos seus sistemas ou para fornecer suporte a outros utilizadores de forma mais simples, como se estivessem ao lado dos mesmos.

    No entanto, recentemente a aplicação tem vindo a ser usada para a realização de ataques. Os investigadores descobriram que existem atacantes a procurarem instalações vulneráveis da aplicação, para obterem acesso aos sistemas e infetarem os mesmos com malware ou para acederem diretamente a dados sensíveis.

    Os principais alvos são sobretudo empresas, onde os atacantes tentam obter acesso a outros sistemas na mesma rede, e recolher dados internos e de clientes. Quando os dados são recolhidos, os atacantes instalam ransomware num dos sistemas, com a intenção de bloquear todas as máquinas dentro da mesma rede.

    Este género de ataques não se encontra relacionado com falhas diretas no TeamViewer, mas sim com erros na forma como as instalações são configuradas. Em muitos casos, os utilizadores optam por usar configurações simples e de fraca segurança, o que deixa em aberto a possibilidade de se aceder ao sistema remotamente.

    De notar ainda que este género de ataques não é inteiramente novo. Existem vários registos de ataques que foram levados a cabo usando softwares de controlo remoto incorretamente configurados, ou com fracas medidas de segurança aplicadas.

    Caso tenha uma aplicação deste género no seu sistema, recomenda-se que garanta que todos os acessos são controlados e que usa medidas de segurança para evitar acessos de terceiros indesejados.

  • Ataque de ransomware à VF Corporation afetou 35 mil clientes

    Ataque de ransomware à VF Corporation afetou 35 mil clientes

    Ataque de ransomware à VF Corporation afetou 35 mil clientes

    A VF Corporation, entidade responsável por marcas como a Vans, Timberland, The North Face, Dickies e Supreme, confirmou que o recente ataque de ransomware à entidade pode ter comprometido os dados de milhares de clientes da mesma.

    De acordo com o comunicado da entidade, enviado para as autoridades norte-americanas, o ataque de ransomware que ocorreu em Dezembro de 2023 terá levado ao roubo de informações de aproximadamente 35 milhões de clientes.

    Segundo o documento entregue às autoridades nos EUA, a empresa afirma que, depois de uma investigação do incidente, chegou-se à conclusão de que dados de clientes teriam sido comprometidos. No total, mais de 35 milhões de clientes podem ter sido afetados com o ataque, com informações pessoais comprometidas.

    No entanto, a empresa garante que não existem evidências que senhas dos clientes tenham sido comprometidas no ataque.

    A empresa tinha confirmado o ataque no passado dia 15 de Dezembro, indicando na altura que alguns dos seus sistemas internos teriam sido comprometidos num aparente ataque de ransomware, o que terá afetado também o funcionamento de algumas divisões da mesma.

    A empresa foi ainda obrigada a desligar alguns dos sistemas internos, de forma a conter o ataque, que afetou também a distribuição de alguns produtos pelos revendedores das diferentes marcas a nível global.

    Atualmente a VF Corp encontra-se a colaborar com as autoridades dos EUA para analisar o ataque e a sua origem.

  • TeamViewer usado em novos ataques de ransomware

    TeamViewer usado em novos ataques de ransomware

    TeamViewer usado em novos ataques de ransomware

    Vários grupos de ransomware começaram novamente a usar ferramentas de acesos remoto aos sistemas como forma de infetarem máquinas dentro das entidades, com o objetivo de ativarem o código do ransomware nos mesmos.

    Mais concretamente, recentemente foi descoberto que a aplicação do TeamViewer encontra-se a ser usada como porta de entrada para estes ataques. Depois de obtido o acesso, os criminosos usam sistemas de encriptação que são baseados no ransomware do LockBit.

    O TeamViewer é uma aplicação legitima de acesso remoto, bastante usada sobretudo em meios empresariais, como forma de permitir o acesso a diferentes sistemas de fontes externas. No entanto, a ferramenta tem vindo a ser cada vez mais usada também para variados esquemas e ataques, que tentam obter acesso aos sistemas onde o software se encontra, para instalar malware e realizar outras atividades maliciosas.

    Na realidade, em 2016, o TeamViewer já tinha sido usado para infetar sistemas de potenciais vítimas, que alegavam que os seus sistemas tinham sido comprometidos depois de serem feitos acessos não autorizados aos mesmos usando a ferramenta.

    A TeamViewer sublinhou na altura que o acesso estaria a ser feito por acesso às contas dos utilizadores, usando dados de login comprometidos e não devido a uma falha zero-day na mesma.

    No entanto, mesmo nos dias atuais, ainda existem grupos de ransomware que se encontram a usar o TeamViewer como meio de instalar ransomware em sistemas comprometidos, usando contas que tiveram os seus dados de login comprometidos e onde a aplicação estaria instalada.

    O foco dos atacantes encontra-se em sistemas empresariais, que são depois usados para se obter acesso a outros sistemas dentro da mesma rede, levando a ainda mais avultados prejuízos para as entidades, com múltiplos sistemas comprometidos.

  • Banco Nacional de Angola alvo de ataque informático

    Banco Nacional de Angola alvo de ataque informático

    Banco Nacional de Angola alvo de ataque informático

    O Banco Nacional de Angola (BNA) confirmou ter sido vítima de um ataque informático esta semana, que apesar de alguns transtornos, a entidade afirma não ter causado impactos na infraestrutura e nos dados.

    Em comunicado, a entidade afirma que o ataque terá ocorrido no dia 6 de Janeiro de 2024, o qual foi mitigado pela equipa de segurança da entidade. A instituição afirma ainda que o ataque não causou problemas a nível da infraestrutura ou funcionamento da mesma, bem como dos dados de clientes ou da própria entidade.

    O BNA afirma ainda que o ataque foi mitigado com sucesso, e não causou impacto em outras plataformas. A entidade afirma ainda que segue todos os padrões de segurança e que estes foram fundamentais para evitar um ataque mais prolongado ou danoso.

    A entidade afirma ainda que “continuará a assegurar as medidas necessárias, visando garantir a segurança, integridade, confiabilidade e disponibilidade dos sistemas de informação das instituições financeiras, que se encontram a operar com normalidade”.

    Os detalhes sobre o ataque não foram revelados, mas algumas fontes locais apontam que poderá ter-se tratado de um ataque de ransomware, com alguns dos sistemas da instituição a ser afetados.

  • Autoridades da Finlândia alertam para aumentos de ataques ransomware

    Autoridades da Finlândia alertam para aumentos de ataques ransomware

    Autoridades da Finlândia alertam para aumentos de ataques ransomware

    As autoridades da Finlândia, mais concretamente a Finish National Cybersecurity Center (NCSC-FI), encontram-se a alertar os utilizadores e empresas para um aumento considerável do número de ataques do grupo de ransomware Akira.

    Este grupo tem vindo a realizar vários ataques de ransomware no país, com foco em encriptar os dados das vítimas, e obrigar ao pagamento para restauro dos mesmos. Os ataques começaram a aumentar consideravelmente desde Dezembro de 2023.

    Segundo as autoridades, seis em cada sete ataques de ransomware nos pais são realizados pelo grupo Akira. Este grupo possui como particularidade o facto de realizar não apenas a encriptação de dados nos sistemas atacados, mas também de dispositivos ligados em rede e sistemas de NAS, para evitar que backups possam ser restaurados.

    Isto torna consideravelmente mais difícil a tarefa de recuperar dados potencialmente bloqueados pelo ransomware. As autoridades alertam que as pequenas empresas estão entre as mais afetadas pelo mesmo, e que devem tomar medidas para prevenir este género de ataques.

    Acredita-se que o grupo encontra-se a explorar falhas em diversos softwares para chegar ao ponto de encriptar os dados dos sistemas. Uma das falhas a ser explorada diz respeito ao sistema Cisco Adaptive Security Appliance (ASA) e Cisco Firepower Threat Defense (FTD), que se encontra no seu sistema de VPN, e que permite o acesso aos sistemas através de ataques brute force, e em contas que não tenham sistemas de autenticação em duas etapas ativos.

  • Grupo LockBit confirma ataque ao hospital Capital Health

    Grupo LockBit confirma ataque ao hospital Capital Health

    Grupo LockBit confirma ataque ao hospital Capital Health

    O grupo de ransomware Lockbit confirmou ter sido o autor do ataque em Novembro de 2023 à rede de hospitais Capital Health, nos EUA. O grupo encontra-se agora a ameaçar publicar os dados roubados caso a entidade não realize o pagamento.

    A Capital Health é um importante grupo de hospitais privados nos EUA, sendo que o ataque terá afetado as operações do mesmo, bem como terão sido recolhidos dados sensíveis de pacientes.

    Em novembro de 2023, a entidade afirmou ter sido vítima de um ataque informático, de onde terão sido obtidos dados dos sistemas internos da mesma, e que causaram problemas no uso dos sistemas informáticos da instituição.

    Na altura desconhecia-se a origem do ataque, mas agora o grupo LockBit veio confirmar a mesma, indicando que irá divulgar brevemente os dados caso o pagamento não seja realizado. Desconhecem-se detalhes sobre os conteúdos roubados, mas acredita-se que pode conter dados sensíveis da instituição, incluindo dados de pacientes da mesma.

    Apesar de serem um grupo de ransomware, o LockBit possui algumas regras sobre as instituições que podem ser comprometidas. No caso de hospitais, o grupo afirma que não encripta os dados, mas pode roubar dados internos dos mesmos. O grupo afirma que propositadamente não encriptou os dados da instituição, mas roubou os dados possíveis da mesma.

  • Insomniac Games deixa comentários sobre recente ataque informático

    Insomniac Games deixa comentários sobre recente ataque informático

    Insomniac Games deixa comentários sobre recente ataque informático

    Durante o início desta semana, o grupo de ransomware Rhysida confirmou ter realizado um ataque aos estúdios da Insomniac Games, tendo recolhido mais de 1.67 TB de informações dos sistemas da editora.

    Entre os dados encontra-se bastante informação sensível da empresa, incluindo de futuros jogos da mesma, onde se encontra “Wolverine”. Recentemente, a editora deixou mais comentários sobre o ataque.

    A partir da sua conta na X, antigo Twitter, a editora afirma encontrar-se desapontada e furiosa sobre os ataques, e do facto de terem sido divulgadas informações que foram feitas a pensar nos consumidores – e que claramente os estúdios não pretendiam que fosse divulgado.

    A editora afirma ainda que o ataque e leak de dados teve impacto também na moral da equipa de desenvolvimento, sendo que alguns projetos foram colocados em suspenso devido a tal.

    Existe ainda a questão dos dados sensíveis de funcionários que foram partilhados, e que se encontram por entre os ficheiros agora divulgados pelo grupo de ransomware. Isto inclui dados pessoais e sensíveis dos mesmos, que podem comprometer a segurança.

    No entanto, a editora afirma que, apesar destes contratempos, esta vai continuar o desenvolvimento como previsto, incluindo de Wolverine. Este título está previsto de ser lançado em 2026, mas a editora vai continuar o seu desenvolvimento daqui em diante.

  • Grupo de ransomware Akira confirma ataque à Nissan

    Grupo de ransomware Akira confirma ataque à Nissan

    Grupo de ransomware Akira confirma ataque à Nissan

    Recentemente surgiram rumores que a Nissan Austrália teria sido alvo de um ataque de ransomware. E agora conhecem-se mais detalhes sobre a origem do mesmo.

    O grupo de ransomware Akira confirmou ter sido o responsável pelo ataque, estando agora a disponibilizar os dados roubados. De acordo com o grupo, este afirma ter roubado mais de 100 GB de dados pertencentes à entidade.

    A empresa terá sido contactada pelo grupo para realizar o pagamento do resgate e evitar a divulgação dos dados roubados, mas tendo em conta a indicação no site do grupo, estas negociações parecem ter terminado sem um acordo. Como tal, o grupo encontra-se agora a ameaçar divulgar os dados roubados.

    Por entre as informações alegadamente roubadas encontram-se documentos internos da empresa, informações de projetos e outras similares, juntamente com dados de parceiros e clientes da empresa.

    dados da nissan

    O grupo Akira começou a ganhar destaque em Março de 2023, e desde então tem vindo a realizar ataques contra várias entidades. O grupo tem intensificado os seus ataques mensais, e conta com uma lista de algumas entidades de relevo.

    De relembrar que a Nissan tinha confirmado que foi vítima de um ciberataque em 5 de Dezembro, na altura sem avançar muitos detalhes sobre a origem do mesmo. A empresa ainda se encontra a restaurar alguns dos sistemas que foram alvo do ataque e a investigar o mesmo, portanto mais informações podem vir a ser reveladas em breve.

  • Novas ameaças multiplataforma preocupam investigadores de segurança

    Novas ameaças multiplataforma preocupam investigadores de segurança

    malware em computador

    A Equipa Global de Investigação e Análise (GReAT) da Kaspersky descobriu três ameaças multiplataforma. No seu último relatório, revela três novas estratégias implementadas pelos cibercriminosos que usam a campanha FakeSG, o ransomware Akira e o stealer AMOS macOS.

    O atual panorama do crimeware é marcado por uma evolução constante, uma vez que os cibercriminosos implementam, cada vez mais, novas táticas em múltiplas plataformas para explorar as suas vítimas. Os especialistas da Kaspersky analisaram estas ameaças, incluindo o ransomware multiplataforma, os stealers de macOS e as campanhas de distribuição de malware.

    A ciberameaça mais recente, descoberta pela GReAT, é a campanha FakeSG, em que os sites legítimos são comprometidos e exibem notificações enganosas de atualização do browser. O ato de clicar nestas notificações desencadeia a transferência de um ficheiro nocivo e, apesar de alterar os URLs, o caminho (/cdn/wds.min.php) permanece constante. O ficheiro transferido executa scripts ocultos, solicitando aos utilizadores que atualizem os seus browsers, enquanto estabelece a persistência através de tarefas agendadas. Dentro do arquivo, um ficheiro malicioso expõe o endereço de Comando e Controlo (C2), realçando a sofisticação desta campanha.

    O Akira, uma nova variante de ransomware, que afeta tanto os sistemas Windows como os sistemas Linux, conseguiu infetar mais de 60 organizações a nível global, atacando os setores de retalho, bens de consumo e educação.

    A sua adaptabilidade para funcionar em várias plataformas realça o seu impacto em diferentes sectores. O Akira partilha características com a variante Conti, tais como uma lista de exclusão de pastas idêntica, e apresenta um painel de Comando e Controlo (C2) distinto, com um design tradicional e minimalista que o protege contra tentativas de análise, o que realça a sofisticação das ciberameaças em evolução.

    Por seu lado, o stealer AMOS macOS, um programa malicioso que surgiu em abril de 2023, inicialmente vendido por 1.000 dólares/mês no Telegram, evoluiu de Go para C, implantando malvertising em sites de software clonados. Utilizando também métodos enganadores como o malvertising, consegue infiltrar-se nos sistemas macOS, recuperando e comprimindo dados do utilizador para transmissão ao servidor de Comando e Controlo, através de um UUID único para identificação. Isto reflete uma tendência crescente de stealers específicos para macOS que exploram potenciais vulnerabilidades, desviando-se da sua associação tradicional com as plataformas Windows.

    “A adaptação ao cenário dinâmico das ciberameaças é fundamental para a proteção dos nossos ambientes digitais. O surgimento deste novo crimeware, juntamente com os métodos não padronizados que os cibercriminosos empregam em diversos sistemas operativos, realça a urgência da vigilância e da inovação nos sistemas de deteção. Permanecer um passo à frente exige um esforço coletivo e enfatiza o papel crucial da investigação e colaboração contínuas para fortalecer as nossas defesas contra as ciberameaças em evolução”, afirma Jornt van der Wiel, investigador de segurança sénior na GReAT.

  • Grupo de ransomware ALPHV lucrou 300 milhões de dólares em 1000 vítimas

    Grupo de ransomware ALPHV lucrou 300 milhões de dólares em 1000 vítimas

    Grupo de ransomware ALPHV lucrou 300 milhões de dólares em 1000 vítimas

    Recentemente o FBI confirmou ter apreendido a infraestrutura pertencente ao grupo de ransomware ALPHV/BlackCat, e com isto começam agora a surgir algumas informações sobre o grupo e os ataques que realizou ao longo dos últimos meses.

    De acordo com as autoridades, o grupo terá lucrado mais de 300 milhões de dólares dos pagamentos de ataques ransomware a mais de 1000 vítimas, com os dados atualizados a Setembro de 2023.

    O FBI indica que o grupo mantinha uma larga rede de afiliados, que eram responsáveis pelos ataques, e que partilhavam as receitas dos mesmos com os administradores de topo do grupo.

    As autoridades afirmam que 75% das empresas atacadas pelo grupo estariam localizadas nos EUA. No total, foram requeridos mais de 500 milhões de dólares em ataques ransomware, e recebidos cerca de 300 milhões.

    Foram também partilhadas dicas pelas autoridades de como garantir a proteção das redes, entre as quais encontra-se o uso de sistema com autenticação em duas etapas, e o uso de senhas seguras em todos os dispositivos da rede e contas.

    Foi ainda recomendado que sejam aplicados os mais recentes patches de segurança e correções de erros e falhas, que muitas vezes corrigem falhas de segurança graves que podem ser exploradas para ataques em larga escala.

    De relembrar que o FBI confirmou hoje ter tomado controlo das infraestruturas do grupo, bem como das chaves de encriptação de centenas de vítimas. Foi ainda desenvolvida uma ferramenta especializada para permitir às vítimas recuperarem os ficheiros bloqueados.

    Depois de terem conseguido obter acesso à rede do grupo, as autoridades mantiveram a mesma sobre monitorização durante meses, recolhendo dados sobre os ataques e ajudando as vítimas dos mesmos a recuperarem os seus ficheiros silenciosamente.

  • FBI confirma apreensão da infraestrutura do grupo de ransomware ALPHV

    FBI confirma apreensão da infraestrutura do grupo de ransomware ALPHV

    FBI confirma apreensão da infraestrutura do grupo de ransomware ALPHV

    As autoridades norte-americanas confirmaram ter apreendido as infraestruturas do grupo de ransomware ALPHV, juntamente com as chaves de desencriptação de conteúdos.

    O site do grupo de ransomware ficou subitamente inacessível no passado dia 7 de Dezembro, mas na altura, sem qualquer informação sobre o sucedido. Apenas hoje o FBI confirmou que tomou conta da infraestrutura do grupo, tendo mantido a monitorização dos mesmos – e de onde recolheram informações importantes, incluindo as chaves de desencriptação para diversos conteúdos usados em ataques do grupo.

    As autoridades afirmam que mantiveram a infraestrutura do grupo sobre vigilância durante meses, tendo recolhido as chaves de desencriptação de quase 500 empresas que foram atacadas pelo mesmo. Isto permitiu que as autoridades entrassem em contacto com as vítimas, para poderem desencriptar os conteúdos bloqueados pelos ataques do grupo ALPHV sem terem de pagar para tal.

    O FBI afirma ainda que criou uma ferramenta especializada para desencriptar os ficheiros, usando as chaves de desbloqueio recolhidas das operações nos servidores. As entidades afetadas por ataques do grupo ALPHV são aconselhadas a contactarem as autoridades para obterem as mesmas.

    As autoridades afirmam que, apesar da maioria das vítimas ser dos EUA, existem algumas entidades noutros países. No final, as autoridades já preveniram o pagamento de quase 68 milhões de dólares em possíveis resgates.

    mensagem no site do grupo de ransomware

    O site do grupo na rede Tor atualmente apresenta uma mensagem de notificação, a informar que foi apreendido pelas autoridades.

    As autoridades têm estado particularmente atentas a grupos de ransomware, com várias campanhas para levar a cabo o desmantelamento dos mesmos nos últimos meses.

  • Hackers publicam 1.3 milhões de ficheiros da Insomniac Games

    Hackers publicam 1.3 milhões de ficheiros da Insomniac Games

    Hackers publicam 1.3 milhões de ficheiros da Insomniac Games

    No passado dia 12 de Dezembro, o grupo de ransomware Rhysida confirmou ter atacado a editora Insomniac Games, da Sony. Na altura, o grupo afirmava ter 1.67 TB de dados da empresa, incluindo de dados sensíveis de títulos que ainda se encontram em desenvolvimento.

    Na altura, o grupo pedia mais de 2 milhões de dólares para evitar a divulgação dos dados. Mas como este pagamento não foi realizado, agora mais de 1.3 milhões de ficheiros da empresa encontram-se publicamente disponíveis.

    De acordo com o portal Cyber Daily, o grupo começou a publicação dos conteúdos roubados, os quais integram diversa informação interna da editora, como recibos de pagamentos e outros detalhes, mas também informações sobre futuros títulos que se encontram em desenvolvimento.

    Existem vários ficheiros associados com o jogo “Wolverine”, incluindo mapas, designs e outros respeitantes ao desenvolvimento. A isto integra-se ainda imagens do jogo e de várias cenas do mesmo, que foram partilhadas internamente.

    Existe ainda um ficheiro que confirma um acordo entre a Sony e a Marvel para a criação de três jogos no futuro, associados com a saga de X-Men. O primeiro jogo deste acordo deverá ser o Wolverine, sendo ainda desconhecidos os restantes.

    O grupo Rhysida afirma que demorou menos de meia hora para obter os dados de acesso aos sistemas internos da empresa, depois de um ataque de phishing. O grupo afirma ainda que os estúdios de videojogos tendem a ser alvos fáceis. Os atacantes afirmam ainda que, apesar da Sony ter avançado com uma investigação do incidente, esta devia ficar mais atenta ao que ocorre dentro da empresa.

    De notar que o grupo começou por colocar os itens roubados para venda, onde qualquer um poderia adquirir. E tendo em conta que 98% dos dados foram agora divulgados, existe ainda 2% que foram adquiridos por terceiros desconhecidos.

  • Autoridades alertam para ataques do grupo de ransomware Play

    Autoridades alertam para ataques do grupo de ransomware Play

    Autoridades alertam para ataques do grupo de ransomware Play

    O FBI deixou recentemente o alerta que o grupo de ransomware Play, entre Junho de 2022 e Outubro de 2023, terá atacado mais de 300 organizações a nível global, entre as quais encontram-se as associadas com infraestruturas críticas em várias áreas.

    De acordo com as autoridades, este grupo em particular tem vindo a aumentar consideravelmente os seus ataques, e a afetar um largo número de entidades com objetivos financeiros, em praticamente todos os continentes.

    As autoridades afirmam que pelo menos 300 empresas terão sido afetadas, mas possivelmente o valor será muito superior, tendo em conta todas as entidades que não reportam os ataques.

    As atividades deste grupo de ransomware começaram a aumentar em Junho de 2022, altura em que as primeiras vítimas também começaram a surgir. Ao contrário dos grupos de ransomware habituais, este foca-se em comunicações via email, sendo que será o principal meio de contacto para as entidades afetadas tentarem resgatar os ficheiros.

    Depois do ransomware ser instalado na rede, o grupo foca-se em encriptar os conteúdos principais da entidade, e a tentar extorquir as mesmas com pagamentos avultados. O grupo tenta ainda recolher dados considerados sensíveis das empresas, que usa depois como moeda de troca para o resgate.

    O grupo tem vindo a intensificar os seus ataques, com foco em grandes instituições de diversos países. Recentemente o grupo foi responsável por ataques à empresa Rackspace, a instituições da cidade de Oakland e outras de destaque.

    As autoridades recomendam que as empresas apliquem medidas de proteção para garantirem que todo o software que usam encontra-se atualizado, e que falhas conhecidas são corrigidas. É ainda fundamental que sejam aplicadas práticas de segurança e que os funcionários tenham lições básicas de cibersegurança.

  • Kraft Heinz nega ter sido alvo de ataque de ransomware

    Kraft Heinz nega ter sido alvo de ataque de ransomware

    Kraft Heinz nega ter sido alvo de ataque de ransomware

    Recentemente a entidade Kraft Heinz foi listada num site de ransomware do grupo Snatch, onde os atacantes afirmavam ter comprometido os sistemas da empresa a 16 de Agosto, e onde teriam obtido dados sensíveis da mesma e de parceiros.

    Apesar de o ataque ter ocorrido alegadamente em Agosto, apenas recentemente a publicação ficou visível. Normalmente isto ocorre quando as negociações terminaram sem sucesso, e os dados estão perto de ser divulgados publicamente.

    Normalmente estes leaks são acompanhados de algumas provas sobre o ataque, mas neste caso a informação não continha detalhes sobre o que foi concretamente roubado.

    Face a esta indicação, a empresa Kraft Heinz terá começado a investigação dos seus sistemas por potenciais ataques. Em comunicado ao portal BleepingComputer, a entidade afirma que não verificou a existência de qualquer compromisso de dados dos seus sistemas, e que os mesmos encontram-se a funcionar na normalidade.

    Até ao momento o grupo ainda não divulgou qualquer detalhes sobre os alegados ficheiros que teria em sua posse.

  • Homem Aranha pode receber novo jogo multijogador

    Homem Aranha pode receber novo jogo multijogador

    Homem Aranha pode receber novo jogo multijogador

    Recentemente a Insomniac Games foi alvo de um ataque de ransomware, de onde foram alegadamente obtidos detalhes internos da empresa, tanto dos seus funcionários como de projetos onde esta se encontrava a trabalhar.

    Dos leaks de dados que foram sendo revelados, surgem no entanto algumas informações sobre os projetos em que a entidade se encontrava a trabalhar nos últimos meses, e um deles pode dizer respeito ao universo de Spider Man.

    De acordo com os leaks, a editora estará a desenvolver um novo jogo multiplayer baseado no universo de Spider Man. Atualmente a editora estaria a trabalhar em três projetos: RCE, Spider-Man 3 e Spider-Verse. Acredita-se que o jogo multiplayer seja associado ao último da lista.

    Infelizmente não se conhecem detalhes de como o jogo iria surgir, nem da história do mesmo. No entanto, a ideia será que os utilizadores teriam a capacidade de criar as suas próprias personagens, que poderiam depois participar em eventos com outros jogadores de todo o mundo.

    Tendo em conta o sucesso da franquia de Homem-Aranha ao longo dos anos, não será de estranhar que a editora esteja a ponderar algumas formas de rentabilizar a mesma, e um novo jogo neste formato certamente que daria novidades para os seguidores do mesmo.

    Apesar das informações, é importante ter em conta que os mesmos ainda se encontram como rumores, não tendo sido confirmados pela Insomniac Games ou a Sony.

  • Sony investiga alegado ataque ransomware da Insomniac Games

    Sony investiga alegado ataque ransomware da Insomniac Games

    Sony investiga alegado ataque ransomware da Insomniac Games

    Durante o início do dia de hoje, o grupo de ransomware Rhysida afirmou ter realizado um ataque de ransomware à editora Insomniac Games, da Sony. No ataque, teriam sido roubadas informações internas da empresa, juntamente com algumas informações sobre futuros jogos a serem lançados pela mesma e documentos de identificação de funcionários.

    A comprovar o ataque, o grupo divulgou algumas imagens com os conteúdos obtidos, e encontra-se a pedir o pagamento de 2 milhões de dólares para evitar a venda dos mesmos.

    Em comunicado ao portal Video Games Chronicle, a Sony veio agora confirmar que se encontra a investigar este alegado ataque. A empresa confirma ter conhecimento que a Insomniac Games foi alvo de um ataque informático, mas as investigações sobre os potenciais dados afetados ainda se encontra a decorrer.

    A empresa sublinha ainda que o ataque aparenta ter sido contido para a Insomniac, portanto não afetou outras divisões da empresa. A investigação ainda se encontra a decorrer, sendo que se espera conhecer mais detalhes durante os próximos dias.

  • Insomniac Games alvo de ataque de ransomware pelo grupo Rhysida

    Insomniac Games alvo de ataque de ransomware pelo grupo Rhysida

    Insomniac Games alvo de ataque de ransomware pelo grupo Rhysida

    O grupo de ransomware Rhysida confirmou ter realizado um ataque à editora Insomniac Games, da Sony, de onde terão sido roubados dados internos da empresa, e algumas informações respeitantes a futuros jogos da mesma.

    De acordo com o portal CyberDaily, o grupo responsável pelo ataque afirma ter obtido detalhes sobre vários jogos em desenvolvimento pela editora, entre os quais se encontra “Wolverine”, um título previsto apenas para 2025. Além disso, foram ainda roubados documentos internos da empresa, juntamente com documentos de identificação, alegadamente de funcionários da mesma.

    O grupo encontra-se a requerer o pagamento de 50 BTC para evitar a divulgação de todos os dados roubados, o que equivale a cerca de 2 milhões de dólares. Se a Insomniac não realizar o pagamento, os dados obtidos serão vendidos a terceiros e podem vir a ser partilhados publicamente.

    Na confirmação do roubo de dados, o grupo de ransomware partilhou algumas imagens que aparentam ser respeitantes ao novo jogo, e onde se inclui também documentos de desenvolvimento internos.

    Até ao momento, tanto a Sony como a Insomniac Games ainda não deixaram comentários sobre o ataque.

  • Toyota alerta clientes para possível roubo de dados pessoais

    Toyota alerta clientes para possível roubo de dados pessoais

    Toyota alerta clientes para possível roubo de dados pessoais

    A Toyota Financial Services (TFS) encontra-se a alertar os seus clientes para um potencial roubo de dados, que terá sido resultado de um ataque aos sistemas internos da empresa. Entre os dados potencialmente recolhidos encontram-se informações pessoais e financeiras dos clientes da entidade.

    A Toyota Financial Services é uma subsidiária da Toyota Motor Corporation, que apesar de mais conhecida no mercado dos automóveis, também possui os seus serviços de crédito e financiamento.

    Durante o mês passado, o grupo de ransomware Medusa afirmava ter estado na origem de um ataque aos sistemas da entidade, na Europa e Africa, que poderia ter comprometido informação sensível da empresa e dos seus clientes. Na altura, a entidade teria confirmado que estava a investigar um possível incidente.

    Alegadamente, a empresa não terá aceite o pedido de pagamento do grupo, que agora publicou a informação no seu portal da rede Tor. Estes dados encontram-se agora acessíveis publicamente, e incluem informação potencialmente sensível da empresa e dos seus clientes.

    Entre os dados potencialmente comprometidos dos clientes encontram-se os seus nomes completos, moradas, endereços do contrato, detalhes dos pagamentos e IBAN das suas contas.

    De acordo com o portal Heise, alguns clientes da empresa encontram-se a ser notificados sobre o ataque e o possível roubo de dados, em cartas enviadas diretamente aos mesmos.

    De momento ainda se desconhecem detalhes sobre a extensão do ataque, e sobre os países onde os clientes podem ter sido afetados. A empresa afirma que ainda se encontra a realizar a investigação, e espera revelar mais detalhes em breve.

  • Grupo de ransomware ALPHV com rumores de ter sido alvo das autoridades

    Grupo de ransomware ALPHV com rumores de ter sido alvo das autoridades

    Grupo de ransomware ALPHV com rumores de ter sido alvo das autoridades

    Recentemente o site do grupo de ransomware ALPHV ficou inacessível na sua plataforma tradicional da rede Tor. Apesar de falhas temporárias serem regulares, neste caso o site já se encontra inacessível faz quase dois dias.

    O site ficou subitamente inacessível durante o dia de ontem, sendo que a situação manteve-se por mais tempo do que seria habitual. De acordo com o portal BleepingComputer, além do site encontrar-se inacessível, os membros do grupo parecem também ter suspendido todas as negociações com as atuais vítimas, além de que outros sites usados pelos mesmos para as suas atividades também se encontram inacessíveis.

    Tendo em conta o período prolongado de inacessibilidade, algumas fontes agora começam a indicar que o grupo pode ter sido alvo das autoridades, e que estas encontram-se agora sobre o controlo dos servidores onde o site se encontrava.

    Até ao momento, todas as informações sobre a possível apreensão dos servidores partem apenas de rumores, sendo que nenhuma agência de segurança confirmou tal ação. No entanto, esta inacessibilidade prolongada é similar ao que aconteceu no passado quando outros grupos de ransomware foram igualmente dissolvidos pelas autoridades.

    Enquanto isso, as atividades do grupo ALPHV/BlackCat aparentam ter começado a surgir sobre outro grupo, com o nome de “DarkSide”. Este grupo ganhou destaque em meados de 2020 e 2021, sobretudo depois do ataque à Colonial Pipeline, mas devido à pressão das autoridades, viria a manter-se em silêncio desde então.

    Recentemente o grupo voltou a registar algumas atividades, o que pode confirmar que estará a preparar-se para surgir novamente, desta vez como “sucessor” do ALPHV.

  • Tipalti investiga alegado ataque de ransomware e roubo de dados da Roblox e Twitch

    Tipalti investiga alegado ataque de ransomware e roubo de dados da Roblox e Twitch

    Tipalti investiga alegado ataque de ransomware e roubo de dados da Roblox e Twitch

    A empresa Tipalti encontra-se a investigar um alegado ataque de ransomware da sua plataforma, de onde terão sido roubados 256 GB de dados associados a alguns dos seus clientes, de onde se incluir o Roblox e Twitch.

    A Tipalti é uma plataforma que oferece soluções de processamento de pagamentos, eCommerce e sistemas de afiliação para programas diretos das entidades. Esta plataforma é usada por nomes como a Twitch, Roblox, ZipRecruiter, Roku, GoDaddy, Canva e a X.

    Recentemente, o grupo de ransomware conhecido como ALPHV confirmou ter realizado o ataque a esta entidade, com o roubo de dados da mesma. Do ataque, terão sido roubados cerca de 256 GB de dados associados com várias empresas, entre as quais a Roblox e Twitch – que serão alvo de extorsão separadamente pelo grupo.

    O grupo afirma que se encontra nos sistemas da entidade desde 8 de Setembro de 2023, e que desde essa altura tem estado a recolher informações dos mesmos e dos várias clientes da entidade.

    O grupo alega ainda ter vários dados associados com funcionários da empresa, que poderão ser usados para os mais variados fins se publicamente divulgados.

    De momento ainda se desconhecem detalhes sobre o que os atacantes possuem sobre os clientes da Tipalti, ou o que será usado como extorsão para os mesmos.

  • Autoridades desmantelaram grupo de ransomware na Ucrânia

    Autoridades desmantelaram grupo de ransomware na Ucrânia

    Autoridades desmantelaram grupo de ransomware na Ucrânia

    Numa cooperação entre as autoridades de diferentes países, foram recentemente detidos vários membros de reconhecidos grupos de ransomware no mercado. Numa operação liderada pela Eurojust e Europol, as autoridades detiveram na Ucrânia membros de grupos de ransomware ligados a ataques a mais de 71 empresas a nível global.

    Os detidos operavam os grupos conhecidos como LockerGoga, MegaCortex, HIVE, e Dharma, entre outros. Os membros dos grupos realizavam diferentes ações nas suas atividades: uns seriam responsáveis por lançar os ataques contra as entidades, e aceder às suas redes internas, enquanto que outros seriam responsáveis pelos pagamentos e pela lavagem de dinheiro.

    Os atacantes obteriam acesso aos sistemas através do roubo de credenciais de sistemas comprometidos, bem como por ataques brute force ou outras técnicas que permitissem encriptar os conteúdos das empresas. O grupo era ainda conhecido por lançar ataques de phishing contra os funcionários das empresas, com o objetivo de levar os mesmos a descarregarem conteúdos potencialmente maliciosos para os seus dispositivos.

    A investigação das autoridades aponta que o grupo terá sido responsável por encriptar mais de 250 sistemas associados com as empresas, as quais seriam eventualmente contactadas para o resgate – onde os atacantes requeriam o pagamento para fornecerem a chave de desbloqueio dos conteúdos.

    As autoridades afirmam ter realizado uma operação coordenada para a detenção dos membros destes grupos, nomeadamente no dia 21 de Novembro, onde o líder de 32 anos foi detido juntamente com quatro cúmplices.

  • Ataque de ransomware elimina dados de 17.000 jogadores em estúdio indie

    Ataque de ransomware elimina dados de 17.000 jogadores em estúdio indie

    Ataque de ransomware elimina dados de 17.000 jogadores em estúdio indie

    Os estúdios dos criadores do jogo “Ethyrial: Echoes of Yore”, um título indie que se encontra disponível na Steam em Early Access, revelaram ter sido vítimas de um ataque ransomware, que terá eliminado os dados de milhares de contas de utilizadores do jogo.

    De acordo com a publicação dos estúdios “Gellyberry Studios” no Discord, o servidor principal da entidade foi atacado, tendo sido instalado ransomware no mesmo que encriptou os conteúdos, incluindo backups locais que se encontravam neste sistema.

    A entidade afirma que o grupo responsável pelo ataque terá requerido o pagamento para recuperar os dados do sistema, algo que a entidade garante que não irá realizar, tendo em conta que não existem garantias que o sistema seja recuperado ou a chave de desbloqueio dos conteúdos fornecida.

    mensagem dos estúdios sobre ataque

    O ataque, no entanto, deixou inacessível os dados de mais de 17.000 jogadores. Como os dados encontram-se inacessíveis, isto impede também recuperar os dados das contas e os seus itens e conteúdos.

    Os estúdios afirmam que vão trabalhar para tentar recuperar o máximo de conteúdos possíveis, e que os jogadores afetados irão receber alguns itens extra e benefícios dentro do jogo pelo transtorno. Ao mesmo tempo, a entidade afirma que vai começar a aplicar medidas para garantir mais segurança dentro do seu ambiente de trabalho – entre adotar sistemas VPN para acesso aos sistemas de desenvolvimento, ou limitar os acessos a IPs específicos.

    Os estúdios aconselham ainda os jogadores a criarem as suas contas, e contactarem os estúdios para obterem algum do progresso.

  • Toyota confirma roubo de dados após ataque de ransomware

    Toyota confirma roubo de dados após ataque de ransomware

    Toyota confirma roubo de dados após ataque de ransomware

    A Toyota Financial Services (TFS) confirmou ter sido vitima de um ataque de ransomware, onde os atacantes terão acedido e roubado dados internos da empresa em alguns dos seus sistemas na Europa e Africa.

    A Toyota Financial Services é uma empresa subsidiária da Toyota Motor Corporation, a qual é responsável por fornecer serviços financeiros para quem adquira veículos da marca.

    Durante o dia de hoje, o grupo de ransomware conhecido como “Medusa” indicou no seu blog da dark web que teria acedido aos sistemas da entidade, e que iria publicar os dados roubados a menos que a empresa pague 8.000.000 dólares.

    imagem da confirmação do roubo de dados

    Os atacantes deram dez dias para a empresa responder e realizar o pagamento, ou noutra forma, os dados poderão ser publicamente disponibilizados. Apesar de a empresa ter confirmado o ataque, não terá deixado detalhes sobre os dados que poderão ter sido roubados.

    No entanto, o grupo afirma ter vários ficheiros respeitantes a funcionários e clientes, bem como a diversos projetos da entidade, que poderão conter informação sensível e pessoal. A maioria dos documentos aparenta ser de operações da entidade na zona europeia e em África.

    Até ao momento ainda se desconhecem detalhes sobre o ataque, nomeadamente qual a origem do mesmo ou os dados concretos que terão sido roubados, mas os atacantes alegam que os mesmos vão ser publicados integralmente caso a empresa não realize o pagamento.

    A Toyota Motor Corporation afirma que se encontra a investigar o incidente, e em contacto permanente com as autoridades competentes.

  • Gamers estão entre os mais afetados por ataques informáticos em 2023

    Gamers estão entre os mais afetados por ataques informáticos em 2023

    Gamers estão entre os mais afetados por ataques informáticos em 2023

    A comunidade global de gaming, que atualmente representa quase metade da população mundial, tem estado cada vez mais debaixo de fogo dos cibercriminosos, de acordo com uma investigação abrangente da Kaspersky. No período compreendido entre julho de 2022 e julho de 2023, a empresa de cibersegurança verificou que a base de utilizadores de jogos está mais vulnerável. Os cibercriminosos exploraram esta vasta comunidade para aceder a dados pessoais, lançando uma série de ataques, incluindo vulnerabilidades da Web, ataques de negação de serviço distribuída (DDoS), extração de criptomoedas e campanhas complexas de Trojans ou de phishing.

    No período entre 1 de julho de 2022 e 1 de julho de 2023, as soluções da Kaspersky detetaram 4 milhões de tentativas substanciais de descarregar mais de 30 mil ficheiros únicos mascarados como jogos populares, módulos, cheats e outro software relacionado com jogos. Estes incidentes afetaram 192.456 utilizadores em todo o mundo. Estes ficheiros – classificados principalmente como software indesejado e muitas vezes rotulados como não-vírus:Downloader (89,70%), – não são inatamente perigosos, mas são capazes de descarregar vários outros programas, mesmo maliciosos, para o dispositivo do utilizador. Adware (5,25%) e Trojans (2,39%) também foram ameaças notáveis para os jogadores de computador.

    O Minecraft surgiu como o alvo preferido dos cibercriminosos, responsável pelo acionamento de 70,29% de todos os alertas. As ameaças que utilizaram o Minecraft como isco afetaram 130.619 jogadores em todo o mundo durante o período em análise. O Roblox foi o segundo título de jogo mais visado, contribuindo para 20,37% de todos os alertas que afetaram 30.367 utilizadores. O Counter-Strike: Global Offensive (4,78%), o PUBG (2,85%), Hogwarts Legacy (0,60%), DOTA 2 (0,45%) e League of Legends (0,31%) também estiveram entre os jogos mais importantes sujeitos a ciberameaças.

    A comunidade de jogos móveis, que, de acordo com o relatório Newzoo 2023, é composta por mais de três mil milhões de jogadores, ou seja, quase 40% da população mundial. Caracteriza-se pelo seu crescimento significativo e acessibilidade, tendo-se tornado um alvo apetecível para os cibercriminosos. Entre 1 de julho de 2022 e 1 de julho de 2023, a Kaspersky documentou 436.786 tentativas de infetar dispositivos móveis, afetando 84.539 utilizadores.

    Vários títulos de jogos foram utilizados como isco para atingir os jogadores móveis. Mais uma vez, os entusiastas do Minecraft foram os principais alvos, uma vez que 90,37% dos ataques se concentraram nos 80.128 jogadores que foram vítimas. Os utilizadores indonésios, em particular, foram explorados através do Minecraft, o que resultou num ataque Trojan.AndroidOS.Pootel.a, que registava discretamente as subscrições móveis. A República Islâmica do Irão registou a maior prevalência destes ataques, com 140.482 alertas que afetaram 54.467 jogadores de Minecraft.

    O PUBG: Battlegrounds Battle Royale foi o segundo jogo para telemóvel mais explorado pelos cibercriminosos, representando 5,09% de todos os alertas, com a maioria dos incidentes a ter origem em utilizadores da Federação Russa. O Roblox (3,33%) ficou em terceiro lugar em termos de deteções, mas em segundo lugar no número de utilizadores afetados.

    Uma descoberta digna de nota envolve o aparecimento do SpyNote, um cavalo de Troia espião distribuído entre os utilizadores do Roblox na plataforma móvel Android sob o disfarce de um mod. Este cavalo de Troia apresenta várias capacidades de espionagem, incluindo keylogging, gravação de ecrã, transmissão de vídeo a partir de câmaras do telefone e a capacidade de se fazer passar por aplicações do Google e do Facebook para enganar os utilizadores e levá-los a divulgar as suas palavras-passe.

    As páginas de distribuição de phishing e de contrafação continuam a representar uma ameaça significativa para os jogadores. O software malicioso e indesejado disfarça-se muitas vezes de jogos populares, disseminado através de sítios Web de terceiros que oferecem versões piratas.

    Estas páginas enganosas apresentam normalmente contagens de descarregamentos inflacionadas, podendo induzir os utilizadores numa falsa sensação de segurança. No entanto, clicar no botão de descarregamento resulta normalmente num ficheiro que pode conter elementos nocivos, muito diferente do conteúdo prometido.

    “Na dinâmica indústria dos jogos, que alberga uma grande quantidade de dados pessoais e financeiros, os cibercriminosos estão a aproveitar oportunidades aliciantes. Exploram as contas de jogos, roubando ativos do jogo, moeda virtual e vendendo contas de jogos comprometidas, muitas vezes com valor no mundo real. A procura incessante de dados pessoais levou a um aumento dos ataques de ransomware, afetando mesmo os jogadores profissionais que dependem de um jogo ininterrupto. Isto sublinha a necessidade crítica de uma maior sensibilização para a cibersegurança na comunidade de jogadores”, alerta Vasily Kolesnikov, especialista em cibersegurança da Kaspersky.

  • Grupo de ransomware divulga dados sensíveis da Boeing

    Grupo de ransomware divulga dados sensíveis da Boeing

    Grupo de ransomware divulga dados sensíveis da Boeing

    O grupo de ransomware LockBit tinha recentemente confirmado ter roubado dados da Boeing, uma das maiores empresas de aviação internacionalmente. O ataque teria sido realizado a alguns sistemas internos da entidade, e o grupo alegava conter cerca de 43 GB de dados da entidade.

    Depois do leak ter desaparecido por alguns dias do site do grupo na dark web, agora os ficheiros foram disponibilizados para download. Isto confirma que a empresa não terá pago pelo resgate dos conteúdos, mas, ao mesmo tempo, também indica que os dados que teriam sido roubados agora estão mais facilmente acessíveis para terceiros.

    A maioria dos ficheiros apresentados no site do grupo dizem respeito a sistemas de backup, tendo em conta que estarão datados de 22 de Outubro, mas ainda assim, será um volume consideravelmente elevado de dados que foram roubados da empresa, o que inclui informação potencialmente sensível da mesma. O ataque teria ocorrido a 27 de Outubro, sendo que o grupo deu até ao dia 2 de Novembro como data limite para pagamento do resgate para a Boeing, ou doutra forma, os dados seriam divulgados. O grupo alega ainda que os dados incluem diversa informação sensível e privada da empresa.

    Depois de alguns dias em que a entidade parece ter estado em conversações com o grupo, eventualmente este decidiu publicar os conteúdos roubados a 10 de Novembro. Os dados incluem todos os ficheiros obtidos dos sistemas da Boeing, entre os quais encontram-se dados de configuração dos sistemas da entidade, logs e outras informações internas. Encontram-se ainda acessíveis outros dados sensíveis da empresa, incluindo backups e ficheiros contendo detalhes de parceiros e clientes da mesma.

    Apesar de a Boeing ter confirmado o ataque, a empresa não deixou detalhes de como os atacantes obtiveram os dados ou qual o ponto de entrada para o roubo dos mesmos.

  • ICBC, um dos maiores bancos do mundo, terá sido alvo de ataque de ransomware

    ICBC, um dos maiores bancos do mundo, terá sido alvo de ataque de ransomware

    ICBC, um dos maiores bancos do mundo, terá sido alvo de ataque de ransomware

    A Banco Comercial e Industrial da China (ICBC), uma das maiores instituições financeiras no país, confirmou ter sido alvo de um ataque informático, o qual se encontra a causar impactos na economia de outros países, nomeadamente no mercado de títulos do Tesouro dos Estados Unidos (Treasuries).

    De acordo com o portal Financial Times, a instituição terá sido alvo de um ataque informático, que terá afetado o sistema da mesma. Os clientes da corretora do banco foram alertados para redirecionarem as suas negociações depois do problema ter impedido a realização de algumas transações. A entidade alertou ainda que a negociação de títulos do Tesouro dos Estados Unidos (Treasuries) seria uma das afetadas pelo incidente.

    A Securities Industry and Financial Markets Association, grupo comercial da indústria dos EUA que representa empresas de valores mobiliários, bancos e empresas de gestão de ativos, terá também emitido um comunicado para os seus membros, indicando que a ICBC teria sido alvo de um ataque de ransomware, que pode ter comprometido informação da entidade – embora ainda não existam detalhes por parte da mesma sobre a origem do incidente. Derivado do ataque, a entidade terá ficado com vários sistemas totalmente bloqueados, incluindo alguns que eram usados para liquidar ordens de clientes interessados em negociar Treasuries.

    Um porta-voz do Departamento do Tesouro dos EUA indicou à Financial Times que “Estamos cientes da questão e mantemos contato regular com os principais participantes do setor financeiro, além das entidades reguladoras”. De momento ainda se desconhece o impacto deste ataque sobre o mercado de Treasuries.

    No entanto, a mesma fonte aponta que alguns dos sistemas da ICBC já estariam a voltar à normalidade durante o final do dia de hoje, e é possível que a situação esteja inteiramente resolvida durante as próximas horas. Para já ainda não existe um comunicado oficial com mais detalhes sobre o incidente.

  • Malware propaga-se em publicidade da Google sob nome do CPU-Z

    Malware propaga-se em publicidade da Google sob nome do CPU-Z

    Malware propaga-se em publicidade da Google sob nome do CPU-Z

    Se utilizou recentemente o Google para descarregar o popular programa CPU-Z , talvez seja melhor ter atenção de onde realmente realizou a tarefa, pois pode ter descarregado uma aplicação maliciosa.

    A equipa de segurança da Malwarebytes revelou uma nova campanha de malware, que se encontra a usar a publicidade do Google para divulgar versões modificadas com malware da popular aplicação CPU-Z. O esquema começa quando os utilizadores realizam a pesquisa na Google pelo nome do programa, onde nos resultados patrocinados podem surgir sites que alegam ser os oficiais do programa.

    Como se tratam de resultados patrocinados, estes surgem no topo da pesquisa, e portanto, recebem mais destaque por parte dos utilizadores. Os utilizadores mais atentos podem verificar que o domínio não corresponde ao legitimo do programa, mas nem sempre isso é suficiente para evitar que se caia no esquema.

    malware em pesquisa da google por publicidade da empresa

    O CPU-Z é um popular programa para Windows de monitorização da frequência dos processador e dados da memória RAM, bastante usado por quem pretenda obter mais informações sobre os seus sistemas.

    Se os utilizadores acederem a estes sites falsos, propagados via a publicidade da Google, são reencaminhados para sites que prometem o download da aplicação. Este site possui um design similar a vários sites de download de programas na internet, possivelmente para tentar enganar as vítimas que podem pensar estar a descarregar a aplicação de uma fonte legitima.

    falso site de download do programa

    No entanto, o programa descarregado acaba por executar uma instalação de malware no sistema, com o potencial de descarregar outro malware para o mesmo no futuro. A aplicação que o utilizador pretendia é também instalada, possivelmente para não levantar suspeitas.

    O malware instala-se no sistema e pode descarregar mais malware, spyware ou ransomware de outras fontes.

    Como sempre, a melhor forma de proteção passa pelos utilizadores evitarem aceder aos primeiros resultados de pesquisa da Google, que possuem a tag de serem anúncios, tendo em conta que nem sempre são a fonte legítíma que alegam ser.

  • Boeing confirma ataque informático de grupo de ransomware Lockbit

    Boeing confirma ataque informático de grupo de ransomware Lockbit

    Boeing confirma ataque informático de grupo de ransomware Lockbit

    A Boeing confirmou que se encontra a investigar um ataque informático à empresa, que terá comprometido alguns dados da mesma na sua cadeia de distribuição. Esta investigação surge depois do grupo de ransomware Lockbit ter confirmado que obteve dados da rede interna da empresa.

    Segundo a Boeing, o ataque não coloca em risco a segurança da aviação, e a entidade encontra-se já a trabalhar com as autoridades para investigar o incidente, juntamente com as respetivas agências reguladoras. Atualmente, o site da Boeing associado com os serviços da mesma encontra-se a apresentar uma mensagem de erro “em manutenção”.

    mensagem de erro no site

    O grupo Lockbit tinha confirmado, no início desta semana, que teria obtido acesso à rede interna da Boeing, resultando no roubo de informação sensível da empresa – com os dados a ficarem visíveis em poucos dias. O grupo alega ter dados sensíveis internos da empresa, juntamente com vários detalhes do negócio e dos trabalhadores.

    A Boeing afirma que os dados dos clientes não terão sido comprometidos como parte do ataque, e que, para já, os dados roubados aparentam ser apenas de uso interno da empresa – que certamente incluem dados sensíveis e que não deveriam ficar visíveis para o público em geral.

    De relembrar que a Boeing é uma empresa internacional, que conta com mais de 140.000 funcionários distribuídos por 65 países diferentes.

  • No Halloween, não seja assombrado por ransomware

    No Halloween, não seja assombrado por ransomware

    No Halloween, não seja assombrado por ransomware

    Os ataques estão a tornar-se cada vez mais aterradores, não só porque sequestram o equipamento e a infraestrutura das empresas e paralisam as suas operações, mas também porque roubam dados de clientes e funcionários, propriedade intelectual e informações confidenciais.

    As notícias que frequentemente aparecem nos jornais deixam claro que o ransomware não é apenas mais uma história de terror urbano, tendo-se já tornado na ameaça mais assustadora para as empresas em todo o mundo.

    Na sua maioria, estes ataques seguem uma metodologia bastante comum: um funcionário morde o isco das táticas de engenharia social e abre um anexo de email malicioso. Ou então, os atacantes obtêm acesso aos sistemas de uma empresa depois de obterem as suas credenciais e passwords através de fugas de informação, empregando técnicas de força bruta ou comprando estes dados de acesso inicial na Dark Web. Outro vetor de ataque que os cibercriminosos exploram habitualmente são as vulnerabilidades em software ou aplicações que, se não forem corrigidas, lhes permitem infiltrar-se numa rede empresarial.

    Infelizmente, este pesadelo está a materializar-se diariamente, deixando novas vítimas em instituições públicas e privadas, independentemente do seu sector ou dimensão. Os ataques são cada vez mais assustadores, pois não só sequestram os equipamentos e infraestruturas das empresas, paralisando as suas operações, como também roubam dados de clientes e colaboradores, propriedade intelectual e informações confidenciais, exigindo um resgate pela sua libertação e/ou para deter a sua publicação.

    Para garantir que as empresas não sofram com esta ameaça, a Kaspersky compilou algumas diretrizes para as ajudar a livrarem-se deste pesadelo.

    • Conheça as potenciais falhas nos seus sistemas, redes e infraestruturas. Pode realizar uma auditoria interna ou avaliar serviços externos de diagnóstico de segurança, como simulações de phishing ou relatórios de risco digital sobre os vetores de ataque associados a toda a pegada digital de uma organização.
    • Avalie os conhecimentos dos seus funcionários. Certifique-se de que a equipa de segurança tem as informações necessárias para avaliar as defesas contra o ransomware e pode planear ações de resposta a incidentes que impeçam o êxito de um ataque. Se faltarem conhecimentos especializados, estão disponíveis cursos de formação. Avalie também se os colaboradores têm, em geral, os conhecimentos básicos para evitarem ser vítimas de burlas. Um clique pode dar a um criminoso total acesso à rede. Além disso, deve ser mantida uma rotina de formação em segurança para todos os funcionários, adaptando os módulos às suas necessidades específicas.
    • Verifique regularmente se as suas defesas estão a funcionar ao melhor nível. Atualmente, existem várias tecnologias que lhe permitem agir proactivamente para evitar um ataque, tais como:
    • Relatórios de informações sobre ameaças com informações sobre a descoberta, o modus operandi e as formas de identificar cada novo ransomware na infraestrutura empresarial.
    • Tecnologias EDR que oferecem deteção avançada de atividades maliciosas.
    • Serviços contínuos de descoberta de ataques, que efetuam uma análise aprofundada dos sistemas, redes e equipamentos para avaliar os pontos fracos da defesa da empresa. Este diagnóstico pode ser efetuado anualmente ou sempre que se suspeite de atividade maliciosa.
    • Analise testes comparativos ou efetue uma análise interna para garantir uma proteção real. O laboratório AV-Test publicou recentemente um relatório específico sobre a proteção contra o ransomware.
    • Verificar as cópias de segurança regularmente. É comum que as empresas criem cópias de segurança e que o ficheiro esteja intacto no ponto seguinte do processo. Infelizmente, os erros são comuns e pode existir uma cópia defeituosa. Certifique-se de que os ficheiros estão bem para permitir uma rápida retoma das operações.
  • Grupo RansomedVC encontra-se a vender as suas infraestruturas

    Grupo RansomedVC encontra-se a vender as suas infraestruturas

    Grupo RansomedVC encontra-se a vender as suas infraestruturas

    O grupo de ransomware conhecido como “RansomedVC” encontra-se alegadamente a vender todas as suas ferramentas e infraestruturas de ataques, no que aparenta ser uma decisão do grupo em saída deste mercado.

    No seu blog na rede Tor, onde habitualmente são partilhadas as novas vítimas do grupo, este deixou uma mensagem onde alega encontrar-se a vender todas as ferramentas, infraestruturas e bases de dados a interessados em manter o projeto ativo. Este grupo é conhecido por realizar técnicas de ransomware a empresa aproveitando pontos como o RGPD na União Europeia, onde força as entidades a pagarem para evitarem ter problemas com a divulgação de dados confidenciais e de clientes.

    O RansomedVC surgiu inicialmente em Agosto de 2023, e desde então tinha vindo a realizar alguns ataques de larga escala. Faz apenas uma semana que o grupo alegava ter realizado o ataque à Colonial Pipeline  nos EUA. O mesmo também alega ter acedido a sistemas da Sony, onde recolher vários dados internos da empresa. Na mensagem, o grupo alega que o administrador se encontra cansado da perseguição das autoridades, e como tal, estará disposto a vender o projeto a interessados em continuar o mesmo – caso se encontre.

    mensagem do grupo sobre a venda

    A venda será não apenas de toda a infraestrutura, mas das ferramentas usadas para criar o ransomware – que o grupo alega ser capaz de contornar todos os softwares de segurança atualmente disponíveis – bem como do código fonte do mesmo. Estão ainda para venda bases de dados, grupos afiliados, perfis das redes sociais usados pelo grupo e vários acessos VPN a sistemas de empresas com um valor combinado de 3 mil milhões de dólares. Existem ainda bases de dados que possuem um valor estimado de 10 milhões de dólares cada.

    Até ao momento ainda se desconhece se existem grupos interessados em continuar as atividades ou na compra destes materiais.

  • Grupo de ransomware Hunters International surge como rebrand do Hive

    Grupo de ransomware Hunters International surge como rebrand do Hive

    Grupo de ransomware Hunters International surge como rebrand do Hive

    Existe um novo grupo de hackers no ativo, fornecendo ransomware-as-a-service, que se encontram a apelidar de “Hunters International”. Este grupo parece encontrar-se a continuar as atividades de outro grupo, o Hive, tendo em conta que o código fonte do ransomware usado pelo grupo é bastante similar ao do anterior.

    Se tivermos este ponto em conta, acredita-se que o novo grupo seja uma continuação ou tenha os mesmos membros que o grupo Hive, continuando as suas atividades. Os investigadores de segurança que analisaram o código fonte do ransomware do novo grupo identificam várias semelhanças com o verificado sobre o antigo grupo, ao ponto de serem praticamente idênticos em várias áreas. Existem mesmo strings do código que ainda indicam ser do grupo Hive diretamente, o que parece confirmar a teoria que o novo grupo possui fortes ligações com o antigo grupo de ransomware.

    No entanto, de acordo com o portal BleepingComputer, o grupo alega que não se trata de uma continuação do Hive, mas sim que adquiriram o código fonte do antigo grupo, e que se encontram a usar o mesmo.

    Este grupo foca-se nas mesmas técnicas de ransomware-as-a-service, onde a base do ransomware pertence ao grupo, mas os ataques são levados a cabo por terceiros, e os lucros dos ataques são depois partilhados por entre quem realizou o ataque e os criadores do mesmo.

    De relembrar que o grupo Hive encerrou operações depois das autoridades terem apreendido vários sistemas usados pelo grupo, incluindo o site na rede Tor, e onde monitorizaram as atividades do mesmo durante vários meses.

  • Grupo de ciber criminosos usam ameaças violentas para obterem dados de acesso

    Grupo de ciber criminosos usam ameaças violentas para obterem dados de acesso

    Grupo de ciber criminosos usam ameaças violentas para obterem dados de acesso

    Os grupos de hackers estão a tomar medidas cada vez mais drásticas para tentarem chegar aos seus propósitos finais, e uma delas passa agora por deixar ameaças de morte contra as vítimas. Este foi o resultado de um estudo da Microsoft sobre o grupo conhecido como Octo Tempest.

    De acordo com a empresa, este grupo usa técnicas agressivas para tentar levar as vítimas a fornecerem dados importantes ou para roubarem dinheiro das mesmas. Invés de adotar esquemas tradicionais de phishing ou similares, o grupo direciona as suas técnicas para uma forma diferente de ataque.

    De acordo com a Microsoft, o grupo surgiu praticamente do nada, nos inícios de 2022, mas desde então tem vindo a elevar os seus ataques e campanhas de phishing. No entanto, o que coloca este grupo no patamar diferente encontra-se na forma como este realiza algumas das suas técnicas de engenharia social, usando práticas avançadas e de extorsão contra as vítimas.

    O grupo conta com personalidades que possuem elevados conhecimentos sociais, e que se adaptam a diferentes situações para tentar enganar as vítimas. Para tal, estes adotam muitas vezes o papel de serem administradores de uma empresa, e de pretenderem obter os dados de acesso a diferentes sistemas internos. Depois de obterem acesso aos sistemas, o grupo começa a recolher o máximo de informação possível da entidade.

    No entanto, para atingir estes objetivos, nem sempre a prática é apenas por uma simples “conversa”. O grupo tem adotado esquemas contra vitimas, ameaçando de morte ou contra familiares, de forma a poderem chegar aos objetivos finais – na maioria das vezes, para levarem ao pagamento de largas quantias de dinheiro.

    Por exemplo, a Microsoft afirma que o grupo terá, no passado, ameaçado funcionários das empresas a fornecerem dados de acesso a sistemas internos. No meio das ameaças encontrava-se mensagens violentas de ataques contra os próprios ou familiares, caso os dados não fossem fornecidos. Até ao momento não existe qualquer confirmação de que estas mensagens se tenham tornado realidade.

    A Microsoft afirma ainda que o grupo conta com fortes ligações a outro grupo de ransomware conhecido como ALPHV/BlackCat. Apesar de o Octo Tempest ser, aparentemente, liderado por utilizadores nos EUA, o grupo alia-se regularmente ao ALPHV/BlackCat, que conta com ligações na Rússia.

  • Seiko confirma roubo de dados de clientes em ataque ransomware

    Seiko confirma roubo de dados de clientes em ataque ransomware

    Seiko confirma roubo de dados de clientes em ataque ransomware

    Recentemente a fabricante de relógios Seiko confirmou ter sido vítima de um ataque de ransomware, que terá sido realizado pelo grupo conhecido como Black Cat. Agora, a empresa veio deixar mais detalhes sobre o ataque, confirmando que existem dados de clientes possivelmente comprometidos.

    De acordo com a empresa, o ataque terá exposto dados sensíveis de alguns clientes, parceiros e funcionários da empresa. Segundo a empresa, cerca de 60.000 itens associados com a empresa terão sido comprometidos neste ataque.

    A relembrar que o ataque foi confirmado a 21 de Agosto, quando o grupo BlackCat confirmou que a Seiko estaria na sua lista de vítimas, tendo indicado que teriam controlo de vários dados da empresa, incluindo planos de fabrico e dados de clientes. No entanto, a Seiko tinha confirmado que teria identificado acesso indevido aos dados da empresa a 10 de Agosto, e que esses acessos teriam sido realizados a 28 de Julho de 2023.

    Depois da investigação do incidente, agora a empresa veio confirmar que os dados de clientes terão sido comprometidos. Os clientes afetados já terão sido notificados pela empresa. Entre os dados roubados encontram-se nome, morada, telefone, emails e outros dados de contacto de clientes, parceiros e funcionários.

    A empresa sublinha que não foram acedidos a dados de cartões de crédito ou de pagamento, visto estes encontrarem-se em sistemas diferentes dos afetados. A empresa refere ainda que vai continuar a analisar a situação.

  • Ataques de ransomware atingiram marca recorde em Setembro de 2023

    Ataques de ransomware atingiram marca recorde em Setembro de 2023

    Ataques de ransomware atingiram marca recorde em Setembro de 2023

    O mês de Setembro de 2023 foi particularmente ativo no que respeita a ataques ransomware, tendo sido um dos meses onde se registou mais ataques dos últimos tempos.

    De acordo com os dados da empresa NCC Group, em Setembro, os grupos mais conhecidos de ransomware lançaram 514 ataques contra entidades, que levaram ao potencial roubo de dados. Este valor ultrapassa os registos recorde de Março de 203, que contou com 459 ataques.

    Em parte, o número elevado de ataques encontra-se relacionado com as falhas do sistema MOVEit, que foram aproveitadas pelo grupo Clop para realizar ataques em massa contra entidades diversas. Estas falhas foram exploradas para levar a acessos indevidos de dados sensíveis, que foram usados posteriormente para ransomware. Ao mesmo tempo, o grupo tem vindo a manter-se algo inativo nos últimos tempos, o que pode indicar que se encontra a preparar para novas atividades em breve.

    A nível de grupos, o LockBit 3.0 lidera com 79 ataques, seguido pelo LostTrust com 53 ataques e o BlackCat com 47 ataques. De notar que o LostTrust é um grupo relativamente recente, mas encontra-se agora na segunda posição como um dos grupos com mais atividade de ransomware.

    dados de comparação dos ataques ransomware em 2022

    Olhando para a comparação com 2022, o número de ataques ransomware aumentou consideravelmente nos últimos tempos. As técnicas dos grupos de ransomware estão cada vez mais eficazes, e a falta de conhecimento ou de aplicação de medidas de segurança por parte das empresas também contribui para o aumento de ataques. O setor industrial é o que regista o maior volume de ataques, seguindo-se o do setor do retalho e hotéis, sector da Tecnologia e, finalmente, da Saúde.

    Espera-se que o número de ataques de ransomware venham a aumentar durante os próximos meses, e que no início de 2024 os valores venham a manter-se.

  • Principal programador do grupo de ransomware Ragnar Locker detido em França

    Principal programador do grupo de ransomware Ragnar Locker detido em França

    Principal programador do grupo de ransomware Ragnar Locker detido em França

    Durante o dia de ontem, foi indicado que o site do grupo de ransomware Ragnar Locker estaria sobre o controlo das autoridades. O site, subitamente, começou a apresentar uma mensagem associada com as autoridades, a indicar que teria sido apreendido.

    O site teria sido apreendido numa campanha realizada pelas forças de segurança de vários países. E ao que parece, não foi apenas o site que as autoridades terão apreendido, já que foi hoje confirmado que um dos programadores chave do grupo também foi detido.

    De acordo com o comunicado da Europol, foram realizadas várias buscas domiciliárias em diferentes países, de suspeitos que se acredita terem relações com o grupo. Foram realizadas buscas nas residências de seis suspeitos, além de terem sido apreendidos nove servidores em controlo dos atacantes.

    No entanto, a maior detenção ocorreu em França, onde as autoridades acreditam ter detido o suspeito considerado como o principal programador do grupo Ragnar, e que terá criado o ransomware usado pelo mesmo.

    De relembrar que o grupo começou as suas atividades em meados de 2020, tendo atacado mais de 168 empresas a nível internacional. Entre estas encontram-se algumas em Portugal, como a TAP e EDP.

    No entanto, é importante referir que o grupo já teria baixas do passado. Em Setembro de 2021, as autoridades na Ucrânia teriam detido dois suspeitos de pertencerem ao grupo, e que terão realizado ataques contra várias entidades. Posteriormente, em outubro de 2022, foi detido mais um suspeito no Canadá.

  • Site do grupo de ransomware Ragnar Locker apreendido pelas autoridades

    Site do grupo de ransomware Ragnar Locker apreendido pelas autoridades

    Site do grupo de ransomware Ragnar Locker apreendido pelas autoridades

    O grupo de ransomware Ragnar Locker ficou conhecido em Portugal depois de ter realizado um ataque aos sistemas da TAP, de onde terão sido roubados dados de clientes da empresa.

    No entanto, o site do grupo na rede Tor encontra-se agora inacessível, depois de ter sido apreendido numa operação que aparenta ter envolvido várias forças de segurança.

    Como parte de um plano de várias forças de segurança internacionais, em diferentes continentes, o site do grupo aparenta agora ter sido apreendido, apresentando uma mensagem das autoridades a indicar que toda a informação encontra-se em posse das mesmas.

    A operação foi confirmada por um porta-voz da Europol, que indica ter apreendido os sistemas usados pelo grupo, embora mais detalhes venham a ser revelados durante o dia de amanhã, no comunicado oficial.

    site do grupo apreendido pelas autoridades

    De relembrar que o grupo Ragnar Locker começou a ganhar popularidade em meados de 2019, e desde então tem vindo a focar-se em realizar ataques sobretudo a grandes empresas, com o objetivo de encriptar os sistemas da rede local das mesmas, além de roubar a informação para extorquir por dinheiro posteriormente.

    Em Portugal, o grupo foi responsável por ter realizado ataques e roubos de dados à EDP e TAP, onde se inclui informação de clientes das empesas. De momento ainda se desconhece quais os dados que as autoridades possuem sobre o grupo, e se algum membro do mesmo terá sido detido na operação.

  • Cuidado com o download do Notepad++ no Google

    Cuidado com o download do Notepad++ no Google

    Cuidado com o download do Notepad++ no Google

    De tempos a tempos, a publicidade da Google é usada para campanhas de malware, e recentemente uma tem vindo a focar-se em quem procura descarregar o popular editor Notepad++.

    De acordo com a empresa de segurança Malwarebytes, uma nova campanha encontra-se a usar a publicidade da Google para enganar os utilizadores que pretendam descarregar a aplicação do Notepad++, levando-as para sites maliciosos com versões adulteradas.

    Esta campanha parece ter escapado dos radares da Google, mantendo-se ativa faz meses. A ideia será que os resultados de pesquisa surgem quando os utilizadores procuram diretamente no Google por termos associados ao editor, como “download Notepad++”. Os primeiros resultados da pesquisa são, por norma, associados a publicidade.

    Os atacantes tiram proveito disso para apresentarem sites falsos, que redirecionam os utilizadores para supostas páginas de download da aplicação. No entanto, estas tratam-se de versões adulteradas com código malicioso, que podem instalar malware nos sistemas.

    exemplos de sites maliciosos

    Os sites usados para a campanha possuem vários domínios. Quando as vítimas acedem ao mesmo, passam por um sistema de redireccionamentos. Se for verificado que o IP do utilizador corresponde ao de um bot ou VPN, este reencaminha os mesmos para um site aparentemente legitimo. No entanto, para os restantes casos, é apontado para um site com o aspeto da página legítima de download do Notepad++.

    exemplo de site malicioso a apontar para download do notepad plus

    Se os utilizadores tentarem fazer o download do programa por esse site, passam por uma segunda camada de validação, que verifica se os mesmos estão em algum género de ambiente protegido – como uma máquina virtual. Se não, o download é realizado.

    A aplicação de instalação da versão maliciosa do Notepad++ possui apenas alguns KB de tamanho total, mas é o suficiente para instalar o malware no sistema – que pode levar ao roubo de dados ou instalação de ransomware.

    Como sempre, a primeira linha de defesa parte dos próprios utilizadores, que devem ter atenção aos resultados de pesquisa que acedem, evitando os primeiros resultados patrocinados no motor de pesquisa.

  • Microsoft Defender será capaz de isolar contas de utilizador comprometidas

    Microsoft Defender será capaz de isolar contas de utilizador comprometidas

    Microsoft Defender será capaz de isolar contas de utilizador comprometidas

    O Microsoft Defender for Endpoint, a versão da suíte de proteção da Microsoft para redes de sistemas Windows, agora recebeu uma nova funcionalidade de segurança, que pode ajudar a evitar ataques dentro da rede onde os sistemas se encontram – e até dentro do mesmo sistema.

    Um dos métodos de ataque muitas vezes usado, sobretudo em ransomware, encontra-se em usar contas comprometidas de um sistema na rede local, para a partir dessas, se ganhar acesso a outros sistemas e contas em diferentes sistemas.

    Este formato de ataque, no entanto, vai agora ficar mais difícil de executar em sistemas com o Microsoft Defender for Endpoint, tendo em conta a nova proteção de isolamento de contas de utilizadores.

    A Microsoft revelou que, com esta novidade, o Microsoft Defender for Endpoint será capaz de isolar as contas de utilizadores que sejam identificadas como suspeitas, ou que estejam a realizar atividades maliciosas. Dessa forma, mesmo que a conta seja comprometida, ficará consideravelmente mais difícil para os atacantes explorarem outros sistemas na rede.

    Basicamente, o sistema, ao identificar atividade suspeita, será capaz de isolar as contas de utilizador, bloqueando todas as ligações internas e externas da mesma. A conta permanece isolada até que os administradores tenham a capacidade de avaliar a situação.

    Ao mesmo tempo, para os atacantes nas contas comprometidas, é como se estes se encontrassem apenas no seu próprio ambiente, sem qualquer ligação externa com a rede local, ou outras contas em diferentes sistemas da rede.

    Segundo os dados da Microsoft, usando esta funcionalidade nas fases de testes, mais de 6500 dispositivos foram prevenidos de serem infetados com ransomware.

  • MGM Resorts estima perda de 100 milhões de dólares devido a ataque informático

    MGM Resorts estima perda de 100 milhões de dólares devido a ataque informático

    MGM Resorts estima perda de 100 milhões de dólares devido a ataque informático

    Durante o mês passado, a MGM Resorts tinha confirmado ter sido alvo de um ataque informático, que causou vários problemas para os sistemas da empresa. O ataque foi confirmado a 11 de Setembro de 2023, e afetou vários serviços da entidade, tanto a nível do website como de serviço de reservas, e até as máquinas do casino da mesma em Las Vegas.

    Alguns dias mais tarde, o ataque foi confirmado também pelo grupo de ransomware Scattered Spider. O grupo terá invadido vários sistemas da entidade, encriptado dados e roubado informação sensível. Os danos causados pelo ataque foram substanciais, e agora conhecem-se mais detalhes dos mesmos para a entidade.

    Em documentos oficiais apresentados pela entidade, a MGM Resorts revela que o ataque levou a perdas de quase 100 milhões de dólares, entre investigações e recuperações que foram necessárias de se realizar. Ao mesmo tempo, a entidade afirma ainda que sentiu perdas de reservas durante o mês de Setembro, como parte da indisponibilidade dos seus sistemas de reserva online.

    Além dos 100 milhões de dólares registados em perdas dos ataques, a entidade afirma que pagou ainda 10 milhões de dólares adicionais para várias entidades, que ajudaram na recuperação dos sistemas e resolução de problemas legais do eventual ataque. De notar que, por entre os dados roubados, encontram-se informações internas da empresa, que podem incluir dados dos clientes.

    A MGM Resorts afirma que dados pessoais de alguns clientes, com nome, morada, número de telefone e email, data de nascimento, de segurança social, passaporte e carta de condução podem ser sido comprometidos. A investigação não revela que dados de senhas ou cartões bancários tenham sido comprometidos, mas ainda assim, os dados que foram obtidos pelos atacantes são considerados sensíveis. A empresa vai oferecer serviços de monitorização bancária e de identidade para todos os clientes afetados pelo ataque e dos dados roubados.

  • Dados da Câmara Municipal de Gondomar à venda na dark web

    Dados da Câmara Municipal de Gondomar à venda na dark web

    Dados da Câmara Municipal de Gondomar à venda na dark web

    No passado dia 27 de Setembro de 2023, a Câmara Municipal de Gondomar confirmou ter sido alvo de um ataque informático. No entanto, na altura não eram conhecidos os detalhes do mesmo, sendo que afetou alguns dos serviços da entidade.

    Mas agora, o grupo responsável pelo ataque veio confirmar o mesmo e o potencial roubo de dados sensíveis. O grupo de ransomware conhecido como Rhysida veio oficialmente confirmar o ataque da instituição, estando a partir do seu portal na Dark Web a vender os dados roubados.

    O grupo afirma ter dados sensíveis da instituição, que podem incluir documentos de identificação e outros ficheiros internos. Os dados encontram-se agora a ser colocados em leilão por aproximadamente 9.99 BTC, o equivalente a cerca de 26 mil euros.

    Imagem da venda de serviços

    De relembrar que, na altura do ataque, a instituição referiu que estaria a realizar a investigação do incidente e que todas as autoridades competentes teriam sido notificadas. Alguns dos serviços da mesma foram afetados durante o ataque, embora rapidamente restabelecidos.

    Ainda se desconhece, para já, a extensão dos dados que podem ter sido recolhidos do ataque.

  • Sony confirma roubo de dados em recente ataque

    Sony confirma roubo de dados em recente ataque

    Sony confirma roubo de dados em recente ataque

    Recentemente um grupo de hackers confirmou ter realizado um ataque contra a Sony Interactive Entertainment (Sony), de onde teria obtido diversa informação interna da empresa, incluindo informação de clientes e sensível. Inicialmente a Sony indicou que estaria a investigar o caso, mas agora chega a confirmação que foram realmente roubados dados no ataque.

    A empresa confirmou que terá notificado 6800 pessoas, devido ao roubo de dados que foi realizado. Este roubo ocorreu através da exploração de uma falha zero-day na plataforma MOVEit Transfer, que a empresa usa para as suas atividades. Esta falha começou a ser explorada ativamente pelo grupo de ransomware Clop, sendo que a Sony tinha sido uma das empresas visadas em Junho. Apesar disso, apenas agora chega a confirmação que foram realmente roubados dados do ataque.

    Segundo a notificação enviada para os utilizadores afetados, o roubo ocorreu a 28 de Maio, três dias antes da falha no MOVEit Transfer ter sido confirmado pela empresa Progress Software. No entanto, a investigação do roubo apenas começou a ser realizada depois do grupo ter confirmado o roubo de dados. A mensagem indica ainda que, depois da falha ter sido descoberta e de se ter chegado à conclusão de que dados teriam sido roubados da mesma, a Sony decidiu desativar todas as suas plataformas associadas à mesma.

    A empresa iniciou ainda uma investigação com a ajudar de entidades de segurança externas e as autoridades.

    Foi confirmado o roubo de dados de 6791 pessoas nos EUA, que estariam associados a dados existentes nos sistemas comprometidos. A empresa sublinha ainda que nenhum outro sistema foi comprometido.

    É importante relembrar que, durante o mês passado, surgiram novas alegações que a Sony teria sido novamente atacada, de onde se roubou 3.14 GB de dados dos sistemas da empresa. No entanto, a Sony ainda se encontra a investigar este incidente, e para já não existe uma confirmação oficial de que os dados tenham sido roubados.

  • Falha do Openfire encontra-se a ser usada para encriptar servidores desatualizados

    Falha do Openfire encontra-se a ser usada para encriptar servidores desatualizados

    Falha do Openfire encontra-se a ser usada para encriptar servidores desatualizados

    Os servidores Openfire encontram-se a ser o alvo mais recente de uma campanha de ataques, que estão a explorar falhas no software para encriptar os sistemas. Os atacantes encontram-se a explorar falhas em sistemas não atualizados com o software de mensagens Openfire, que são depois usados para encriptar os conteúdos com ransomware.

    O Openfire é um popular cliente de chat XMPP, baseado em Java, que conta com mais de 9 milhões de downloads. É usado sobretudo por entidades que pretendem um formato de comunicação seguro e direto em diferentes plataformas. A falha, identificada como CVE-2023-32315, permite que os atacantes possam contornar os sistemas de autenticação no painel de administração, tendo praticamente acesso sem restrições ao sistema e servidor.

    A falha encontra-se em servidores configurados desde a versão 3.10.0, datada de 2015, até à 4.6.7, bem como desde a 4.7.0 até à 4.7.4. Todos os sistemas que ainda se encontram em versões desatualizadas do software podem vir a ser comprometidos, e os atacantes encontram-se a analisar a internet por sistemas vulneráveis para tal.

    Apesar de a falha ter sido corrigida com a versão 4.6.8, 4.7.5, e 4.8.0, que foram lançadas em Maio de 2023, os dados da empresa de segurança VulnCheck indicam que ainda existem mais de 3000 servidores afetados em versões antigas. A empresa Dr. Web agora reporta que estes sistemas encontram-se a ser alvo de campanhas diretas para explorar a falha, levando à encriptação de conteúdos e instalação de ransomware nos sistemas.

    Os primeiros indícios dos ataques datam de Junho de 2023, e continuam até à presente data. Apesar de os dados serem encriptados com ransomware, desconhece-se qual a entidade por detrás dos ataques – sendo que os conteúdos encriptados não contam com um meio de identificação claro.

    Como sempre, a primeira linha de defesa parte por os administradores dos sistemas atualizarem os seus servidores e programas para a versão mais recente, o que garante que se encontram protegidos contra este ataque.

  • Grupo de ransomware afirma ter atacado sistemas internos da Sony

    Grupo de ransomware afirma ter atacado sistemas internos da Sony

    Grupo de ransomware afirma ter atacado sistemas internos da Sony

    A Sony encontra-se novamente a ser alvo de um suposto ataque, depois do grupo de ransomware conhecido como “Ransomed” ter confirmado que invadiu os sistemas da empresa, tendo roubado diversa informação sensível da mesma.

    O grupo afirma que terá acedido aos sistemas internos da Sony, tendo obtido acesso a dados da empresa em vários departamentos. Estes dados encontram-se agora a ser colocados para venda a potenciais interessados.

    Os hackers indicam ainda que não vão pedir qualquer resgate direto para a empresa, e que se encontram apenas a vender os dados. De notar que não existe ainda uma confirmação oficial dos dados que foram alegadamente roubados, mas o grupo forneceu uma pequena lista de ficheiros – que alguns investigadores apontam não conter informação importante, mas que será associada com a Sony.

    O grupo indica ainda que, caso ninguém venha a adquirir os dados, estes serão publicamente revelados para todos a 28 de setembro. Este processo é algo vulgar do grupo.

    Mesmo que não exista uma confirmação oficial da Sony para o ataque, o grupo tem vindo a acumular uma longa lista de vítimas nas últimas semanas. Na maioria dos casos, os dados são partilhados ao fim de alguns dias, caso não sejam adquiridos por entidades interessadas.

    De relembrar também que esta não é a primeira vez que a Sony lida com um ataque e roubo de dados. Muitos utilizadores certamente devem recordar-se do incidente de 2011 com a PSN, onde dados sensíveis de 77 milhões de contas foram roubados, e o serviço esteve inacessível ou com falhas durante mais de 23 dias.

  • Grupo de ransomware “Cuba” volta ao ataque

    Grupo de ransomware “Cuba” volta ao ataque

    Grupo de ransomware “Cuba” volta ao ataque

    A Kaspersky revelou uma investigação sobre as atividades do famoso grupo de ransomware conhecido como Cuba. Este grupo de cibercriminosos implantou recentemente um malware que conseguiu evitar a deteção mais avançada e visou organizações em todo o mundo, deixando um rasto de empresas comprometidas em vários sectores.

    Em dezembro de 2022, a Kaspersky detetou um incidente suspeito no sistema de um cliente, descobrindo três ficheiros duvidosos. Estes ficheiros desencadearam uma sequência de ações que levaram ao carregamento da biblioteca komar65, também conhecida como BUGHATCH.

    O BUGHATCH é um backdoor sofisticado que se instala na memória do processo. Executa um bloco de código de shell incorporado no espaço de memória que lhe é atribuído, utilizando a API do Windows, que inclui várias funções. Posteriormente, liga-se a um servidor de Comando e Controlo (C2), aguardando instruções adicionais. Pode receber comandos para descarregar software como o Cobalt Strike Beacon e o Metasploit. A utilização do Veeamp no ataque sugere fortemente o envolvimento do ransomware Cuba.

    Em particular, o ficheiro PDB faz referência à pasta “komar”, uma palavra russa para “mosquito”, indicando a potencial presença de membros que falam russo no grupo. Uma análise mais aprofundada efetuada pela Kaspersky revelou módulos adicionais distribuídos pelo grupo Cuba, melhorando a funcionalidade do malware. Um desses módulos é responsável pela recolha de informação do sistema, que é depois enviada para um servidor através de pedidos HTTP POST.

    Continuando a sua investigação, a Kaspersky descobriu novas amostras de malware atribuídas ao grupo Cuba no VirusTotal. Algumas destas amostras tinham conseguido escapar à deteção por outros fornecedores de segurança. Estas amostras representam novas iterações do malware BURNTCIGAR, empregando dados encriptados para evitar a deteção antivírus.

    “As nossas últimas descobertas sublinham a importância do acesso aos mais recentes relatórios e informações sobre ameaças. À medida que os grupos de ransomware, como Cuba, evoluem e aperfeiçoam as suas táticas, manter-se à frente dos criminosos é crucial para mitigar eficazmente os potenciais ataques. Com o cenário das ameaças em constante mudança, o conhecimento é a melhor defesa contra os cibercriminosos emergentes”, afirma Gleb Ivanov, especialista em cibersegurança da Kaspersky.

    Cuba é uma estirpe de ransomware de ficheiro único, difícil de detetar devido ao seu funcionamento sem bibliotecas adicionais. Este grupo de língua russa é conhecido pelo seu extenso alcance e visa sectores como o retalho, finanças, logística, governo e indústria transformadora na América do Norte, Europa, Oceânia e Ásia. Empregam uma mistura de ferramentas públicas e proprietárias, atualizando regularmente o seu conjunto de ferramentas e utilizando táticas como BYOVD (Bring Your Own Vulnerable Driver).

    Uma das características da sua operação é a alteração dos carimbos de data e hora da compilação para enganar os investigadores. Por exemplo, algumas amostras encontradas em 2020 tinham uma data de compilação de 4 de junho de 2020, enquanto os carimbos de data/hora em versões mais recentes eram apresentados como tendo origem em 19 de junho de 1992.

    A sua abordagem única envolve não só a encriptação de dados, mas também a adaptação de ataques para extrair informações sensíveis, tais como documentos financeiros, registos bancários, contas de empresas e código fonte. As empresas de desenvolvimento de software estão particularmente em risco. Apesar de estar na ribalta há já algum tempo, este grupo mantém-se dinâmico, aperfeiçoando constantemente as suas técnicas.

    Caso tenha interesse pode ver a análise completa da empresa no site da Securelist.

  • Microsoft alerta para campanha de malware distribuída no Teams

    Microsoft alerta para campanha de malware distribuída no Teams

    Microsoft alerta para campanha de malware distribuída no Teams

    A Microsoft encontra-se a alertar os utilizadores do Microsoft Teams para uma nova campanha de malware, a qual se encontra a propagar ativamente pela aplicação de conversa empresarial da entidade.

    De acordo com a empresa, o grupo é conhecido internamente como “Storm-0324”, e esta afirma que as atividades do mesmo datam de 2016. No entanto, ultimamente começaram a focar os ataques usando o Teams.

    O grupo encontra-se a distribuir malware através de mensagens no Teams, enviadas sobre os mais variados pretextos para as potenciais vítimas. Na maioria dos casos, as mensagens enviadas dizem respeito a pagamentos em falta, com anexos que levam para o malware.

    Se instalado, o malware procede com a recolha de dados sensíveis do sistema, e pode ter capacidade de descarregar outros malwares para o mesmo, como ransomware. As mensagens enviadas pelos atacantes podem ainda ter aspeto bastante realista de empresas reconhecidas, como a DocuSign.

    exemplo de conteudo falso para enganar da campanha

    A empresa afirma que se encontra ativamente a monitorizar a campanha com vista a bloquear e eliminar as contas que estejam a ser usadas para distribuir o malware. No entanto, tendo em conta as dimensões das mesmas, a tarefa pode ser complicada.

    A empresa recomenda ainda que as equipas do Teams adotem medidas de segurança, como apenas permitir que dispositivos seguros possam realizar a ligação a contas do Teams e enviar mensagens na plataforma.

  • Investigadores criam ferramenta de desbloqueio do ransomware do Key Group

    Investigadores criam ferramenta de desbloqueio do ransomware do Key Group

    Investigadores criam ferramenta de desbloqueio do ransomware do Key Group

    As vítimas do ransomware Key Group podem agora ter uma nova via de tentar recuperar os conteúdos encriptados pelo ransomware, com uma nova ferramenta desenvolvida para a tarefa.

    Os investigadores da empresa EclecticIQ revelaram ter conseguido desenvolver uma ferramenta que pode desencriptar os conteúdos que tenham sido bloqueados pelo ransomware do grupo até inícios de Agosto.

    Apesar de o grupo alegar que a encriptação é feita via AES, os investigadores confirmaram que a chave e formato de encriptação entre todos os ataques é idêntica, o que permite que seja possível reverter a encriptação. Apesar de não ser um processo simples, a possibilidade encontrava-se em cima da mesa, e os investigadores confirmaram ter conseguido realizar essa tarefa.

    No entanto, a ferramenta de desbloqueio ainda se encontra numa fase bastante inicial de desenvolvimento. Esta apenas se encontra disponível para uso via linha de comandos, visto tratar-se de um script Phyton. Os interessados podem verificar mais informações no site da empresa de segurança.

    O grupo de ransomware Key Group é conhecido por ter ligações com a Rússia, sendo que começou as suas atividades no início de 2023. O mesmo realizou ataques a várias entidades desde então, a nível global, e muitas vezes divulga informações do grupo e dos seus ataques via o Telegram.

    Os ficheiros encriptados pelo ransomware do grupo possuem a extensão .KEYGROUP777TG.

    Tendo em conta que a ferramenta de desencriptação foi agora revelada, o grupo deve brevemente começar a atualizar as suas ferramentas, e adotar medidas para corrigir o que permitia o ataque de ser realizado em primeira instância. Isso pode levar a que as futuras versões do ransomware não possam ser desencriptadas dessa forma.

  • Autoridades desmantelaram uma das maiores redes botnet da atualidade

    Autoridades desmantelaram uma das maiores redes botnet da atualidade

    Autoridades desmantelaram uma das maiores redes botnet da atualidade

    A botnet conhecida como “Qakbot” é uma das maiores e mais antigas redes em atividade na internet, mas foi agora desmantelada numa operação das autoridades sobre o nome de “Duck Hunt”.

    Esta operação, liderada pelo FBI, levou à apreensão de vários sistemas de controlo da botnet, que eram usados para o envio de comandos aos dispositivos infetados. Esta rede foi identificada como sendo a origem de mais de 40 ataques de ransomware contra empresas e entidades governamentais, causando milhares de dólares em prejuízos.

    As estimativas apontam que, apenas nos últimos 18 meses, a rede tenha criado prejuízos no valor de 58 milhões de dólares. Ao longo dos anos, esta rede tem sido usada como porta de entrada para diversos ataques de ransomware, de grupos como Conti, ProLock, Egregor, REvil, RansomExx, MegaCortex e Black Basta.

    De acordo com o diretor do FBI, Christopher Wray, as vitimas encontravam-se distribuídas em diferentes setores a nível mundial. A botnet mantinha uma larga rede de sistemas infetados, que eram usados para enviar comandos e realizar ataques em larga escala.

    O FBI afirma que a rede contava com mais de 700,000 sistemas diferentes, mais de 200.000 encontravam-se nos EUA, que faziam parte da infraestrutura da botnet. Dento desta encontravam-se ainda sistemas usados para receberem e enviarem os comandos, em controlo dos gestores da rede.

    Num dos sistemas usado pelos administradores da Qakbot, as autoridades terão descoberto diversos ficheiros contendo informações relacionadas com as atividades presentes e passadas da Qakbot. Isto inclui mensagens e comunicação feitas entre o administrador da rede e interessados no uso da mesma.

    Foram ainda descobertas várias informações sobre vítimas de ataques realizados através da Qakbot, dados de pagamento, detalhes dos esquemas de ransomware e outras informações.

    Durante o final da semana passada, as autoridades tomaram o controlo da rede, passando a redirecionar todo o tráfego da mesma para um servidor em controlo do FBI, que foi usado para correr um comando que permite remover o malware dos sistemas infetados.

    Apesar de os dispositivos não terem sido diretamente notificados caso estivessem infetados, e a remoção do malware ter sido feita de forma silenciosa, os utilizadores podem vir a verificar se foram afetados através de ferramentas como o Have I Been Pwned e o site da Politie.

    No final, as autoridades não apenas desmantelaram as operações do malware, como também removeram o mesmo dos sistemas onde este se encontrava através do redireccionamento do tráfego para sistemas em controlo do FBI.

    De notar, no entanto, que esta tarefa não remove outro malware que possa encontrar-se no sistema, e que ainda possa estar a ser usado para ataques ou roubos de dados.

    Esta foi uma das maiores operadoras de desmantelamento de uma rede botnet realizada pelas autoridades dos EUA, sobretudo tendo em conta a dimensão da mesma e o número de potenciais vitimas – direta ou indiretamente – associadas com a mesma.

  • Autoridades alertam para onda de ataques de ransomware em Espanha

    Autoridades alertam para onda de ataques de ransomware em Espanha

    Autoridades alertam para onda de ataques de ransomware em Espanha

    Os ataques de ransomware encontram-se cada vez mais ativos, e agora, mesmo ao lado de Portugal, as autoridades estão a alertar para uma série de ataques.

    As autoridades espanholas encontram-se a alertar cidadãos e empresa para uma onda de ataques do ransomware “LockBit Locker”. Esta campanha encontra-se direcionada para potenciais vítimas através de mensagens de phishing.

    O objetivo parece ser afetar empresas em Espanha com o ransomware, e potencialmente comprometer dados sensíveis das mesmas. Praticamente todos os ataques encontram-se a ser realizados via mensagens de phishing, enviadas para funcionários ou administradores das empresas.

    As mensagens direcionam os utilizadores para anexos, a maioria protegidos ou em sites de terceiros, onde devem ser descarregados os conteúdos para aceder a supostas informações importantes.

    As autoridades alertam que as mensagens estão a ser enviadas de um domínio inexistente ou que reencaminha para empresas legitimas espanholas.

    As autoridades não revelaram muitos detalhes sobre o ataque, para além do grupo que o encontra a realizar. Como sempre, é importante ter atenção a todos os conteúdos que sejam recebidos de fontes desconhecidas, e esta ideia deve-se passar também a funcionários das empresas – que devem ter particular atenção e treino para tais situações.

  • Jovem de 18 anos condenado por ataques realizados do grupo Lapsus

    Jovem de 18 anos condenado por ataques realizados do grupo Lapsus

    Jovem de 18 anos condenado por ataques realizados do grupo Lapsus

    Um jovem de 18 anos, residente em Londres, foi condenado como o autor de vários ataques de elevado destaque por parte do grupo Lapsus. O jovem tinha sido detido pelas autoridades, e foi o autor agora confirmado de vários ataques realizados a instituições de renome no mercado, requerendo o pagamento para restauro de dados roubados e encriptados via ransomware.

    Arion Kurtaj foi detido duas vezes em 2022, primeiro em Janeiro de depois em Março, pelas suas ligações com o grupo conhecido como Lapsus. Este grupo foi responsável por ter realizado ataques a empresas como a Microsoft, Cisco, Okta, Nvidia, T-Mobile, Samsung, Vodafone, Ubisoft, 2K e Globant.

    Kurtaj é autista, mas o tribunal avaliou as acusações que o mesmo enfrenta de qualquer forma. O jovem encontra-se acusado de ter também invadido o sistema das autoridades policiais de Londres poucos dias depois de ter sido detido.

    Este terá ainda realizado e ajudado a realidade ataques a empresas como a Revolut, Uber e Rockstar Games, com o intuito de requerer o pagamento de milhões de dólares em resgates de ransomware.

    Acredita-se que o jovem terá sido também responsável pela publicação de vários conteúdos relacionados com GTA 6, da Rockstar Games, que o mesmo terá obtido depois de obter acesso a sistemas internos da empresa. Kurtaj terá ganho milhares de dólares com as suas atividades, e acredita-se que tivesse mais de 300 BTC das mesmas, no entanto, este terá também perdido uma grande quantidade dos ganhos depois de ter sido atacado.

    As atividades do grupo Lapsus estiveram mais ativas entre 2021 e 2022, onde foram realizados alguns dos ataques de maior relevo. O grupo, apesar de composto por jovens, terá conseguido realizar alguns dos maiores ataques informáticos dos últimos anos, a empresas com fortes restrições de segurança.

    O grupo teria mesmo acesso a sistemas de telecomunicações, onde pagava mais de 20.000 dólares por semana para manter este acesso, e poder realizar as suas atividades. Apesar de Kurtaj ser o membro principal do grupo, acredita-se que este trabalhava com outros jovens em vários países, com as autoridades a terem confirmado a existência de um jovem de 17 anos que também terá relações ao grupo.