Exfiltração De Dados

Uma campanha de intrusão sofisticada, iniciada em setembro de 2024, explorou uma vulnerabilidade no instalador do EarthTime da DeskSoft para disseminar diversas famílias de malware e realizar reconhecimento de rede, roubo de credenciais e exfiltração de dados por meio de sessões RDP tuneladas. O ataque começou quando um usuário executou um instalador do EarthTime adulterado, que, ao ser iniciado, ativou uma cadeia de execução anômala que injetou o SectopRAT, um RAT .NET, no processo do MSBuild. Os atacantes estabeleceram persistência ao copiar o payload para a pasta de inicialização e criaram uma conta de administrador local para acesso contínuo. A movimentação lateral foi realizada principalmente por meio de padrões de logon RDP, enquanto um ataque DCSync recuperou credenciais de domínio. A exfiltração de dados foi realizada via FTP em texto claro, expondo credenciais durante a transferência. Este incidente destaca a necessidade crítica de validação robusta de certificados e monitoramento de atividades anômalas em ambientes corporativos.

O grupo de cibercriminosos conhecido como Storm-0501 tem aprimorado suas táticas para realizar ataques de exfiltração de dados e extorsão, focando em ambientes de nuvem. Ao contrário do ransomware tradicional, que geralmente criptografa arquivos em redes locais, o Storm-0501 utiliza capacidades nativas da nuvem para exfiltrar rapidamente grandes volumes de dados, destruir informações e backups, e exigir resgates, tudo isso sem depender de malware convencional. Desde sua primeira documentação pela Microsoft em 2024, o grupo tem atacado setores como governo, manufatura e transporte nos EUA, mostrando uma evolução para um modelo de ransomware como serviço (RaaS). O acesso inicial é frequentemente facilitado por corretores de acesso, explorando credenciais comprometidas ou vulnerabilidades em servidores expostos. Recentemente, o grupo realizou um ataque a uma grande empresa, utilizando técnicas como DCSync para extrair credenciais do Active Directory e, em seguida, comprometer um servidor de sincronização do Entra Connect. Após a exfiltração de dados, o grupo deletou recursos críticos da Azure, dificultando a recuperação pela vítima. A Microsoft implementou mudanças para mitigar esses ataques, incluindo atualizações no Entra Connect e recomendações para habilitar o Trusted Platform Module (TPM) nos servidores de sincronização.

Um novo grupo de ciberataques, conhecido como ShadowSilk, tem como alvo entidades governamentais na Ásia Central e na região Ásia-Pacífico. De acordo com a Group-IB, cerca de trinta vítimas foram identificadas, com as intrusões focadas principalmente na exfiltração de dados. O grupo compartilha ferramentas e infraestrutura com outros grupos de ameaças, como YoroTrooper e Silent Lynx. As vítimas incluem organizações governamentais de países como Uzbequistão, Quirguistão e Paquistão, além de setores como energia e transporte.

Um alerta foi emitido para organizações em todo o mundo após a divulgação de uma campanha de exfiltração de dados em larga escala, atribuída ao grupo de hackers UNC6395. O ataque, que começou em 8 de agosto de 2025, explorou tokens OAuth comprometidos do aplicativo Salesloft Drift para acessar e extrair informações sensíveis de instâncias do Salesforce. Os hackers conseguiram exportar grandes volumes de dados, incluindo informações de contas, usuários e oportunidades, além de buscar segredos valiosos como chaves de acesso da Amazon Web Services (AWS) e senhas em texto claro. A Salesloft confirmou que apenas clientes que integraram o Drift com o Salesforce foram afetados. Em resposta, a empresa revogou todos os tokens de acesso e a Salesforce removeu o aplicativo do AppExchange. As organizações afetadas foram notificadas diretamente. Especialistas recomendam que as empresas revisem seus ambientes Salesforce, revoguem e rotacionem chaves descobertas e ajustem as configurações de segurança para mitigar riscos futuros.