O bom, o mau e o feio em cibersegurança — Semana 34

Tradução automática do conteúdo disponibilizado no feed de SentinelOne. Original: https://www.sentinelone.com/blog/the-good-the-bad-and-the-ugly-in-cybersecurity-week-34-8/

O Bom | EUA acusam ciberatacantes iranianos de roubo em massa de propriedade intelectual
O Departamento de Justiça dos EUA indiciou 17 cidadãos iranianos associados ao Mabna Institute, uma empresa patrocinada pelo Estado de hackers de aluguel, por executar uma campanha global de ciberespionagem. Operando desde 2013, a rede maliciosa visou sistematicamente instituições acadêmicas, corporações privadas e agências governamentais para obter propriedade intelectual. Embora nove réus já tivessem sido indiciados em 2018 por atingir mais de 300 universidades e empresas privadas, as acusações recém-deslacradas acrescentam oito indivíduos à ação. Investigadores afirmam que os hackers trabalhavam para o Corpo de Guardiões da Revolução Islâmica do Irã (IRGC), vários órgãos governamentais e clientes comerciais. A campanha visou credenciais de centenas de milhares de professores em todo o mundo, comprometendo aproximadamente 80.000 deles. Ao explorar essas contas, os atores exfiltraram mais de 31 terabytes de dados acadêmicos sensíveis, incluindo periódicos, dissertações e ebooks avaliados em 3,4 bilhões de dólares. As intrusões afetaram 178 universidades, incluindo 144 nos Estados Unidos, além de 53 empresas privadas, duas organizações não governamentais e 10 agências estaduais. Além da espionagem acadêmica, os réus visaram entidades privadas, incluindo um esquema de extorsão contra a rede de entretenimento HBO por 6 milhões de dólares em Bitcoin. O Departamento de Estado anunciou recompensas de até 10 milhões de dólares por informações que levem à captura de cinco réus importantes e criou um link de rede Tor anônimo para receber denúncias. Todos os réus enfrentam atualmente várias acusações federais, incluindo conspiração para realizar intrusões em computadores, fraude eletrônica e roubo de identidade agravado, que podem resultar em penas máximas de vinte anos de prisão. A ação reforça o compromisso de longo prazo do governo em perseguir atores estrangeiros que atacam organizações domésticas, independentemente de quanto tempo tenha passado.

O Mau | Sindicato de ransomware Medusa compromete 500 organizações de infraestrutura crítica
Um aviso conjunto emitido por agências federais alerta que o sindicato de ransomware Medusa violou sistematicamente mais de 500 organizações de infraestrutura crítica nos Estados Unidos desde junho de 2021. Publicado em coordenação com CISA, FBI e Departamento de Saúde e Serviços Humanos (HHS), o alerta cobre a rápida expansão do Medusa nos setores de saúde, manufatura, defesa e finanças. O comunicado atualiza uma avaliação de março de 2025, que estimava anteriormente pouco mais de 300 vítimas. Outras áreas visadas incluem educação, sistemas médicos, jurídicos e de seguros. Embora os atores estejam ativos desde janeiro de 2021, suas operações cresceram fortemente em 2023 após o lançamento do site de vazamentos “Medusa Blog”. Os operadores usam o portal para publicar arquivos roubados, aplicando táticas de dupla extorsão contra vítimas que não pagam. O sindicato opera sob um modelo de Ransomware-as-a-Service (RaaS), com um programa agressivo de afiliados. Desenvolvedores recrutam corretores de acesso inicial em fóruns da dark web, oferecendo pagamentos de 100 a 1 milhão de dólares por acesso exclusivo. Os defensores não devem confundir essa ameaça com o MedusaLocker, uma família de ransomware diferente, nem com as famílias de malware móvel Medusa e TangleBot, que também compartilham nomes semelhantes. Para se defender dessas intrusões, as agências recomendam implementar proteções robustas. As equipes de segurança devem proteger e corrigir sistemas expostos para evitar a exploração de firmware, sistemas operacionais e software. Além disso, administradores devem restringir o acesso de origens não confiáveis a serviços remotos e implementar segmentação de rede para impedir movimentação lateral.

O Feio | Hackers exploram vulnerabilidade crítica do protocolo IKE do Windows
A CISA adicionou ao seu catálogo de falhas exploradas ativamente uma vulnerabilidade crítica de execução remota de código (RCE) no componente Internet Key Exchange Service Extensions do Windows, conhecido como MS-IKEE. Identificada como CVE-2026-33824, essa vulnerabilidade grave de double-free afeta todas as versões compatíveis do Windows 10, Windows 11 e Windows Server 2016, 2019, 2022 e 2025. A falha permite que atacantes remotos não autenticados executem código arbitrário simplesmente transmitindo pacotes UDP criados de forma maliciosa pelas portas 500 ou 4500 para sistemas Windows que executam IKE versão 2. Como esse componente trata recursos importantes, como autenticação de endereços gerada criptograficamente, proteção contra negação de serviço e interoperabilidade com terceiros, sistemas expostos permanecem altamente vulneráveis ao comprometimento completo da rede. Embora a Microsoft tenha corrigido o problema durante o Patch Tuesday de abril de 2026, a empresa ainda não atualizou seu aviso oficial para refletir a exploração em andamento. Sob o mandato urgente da Binding Operational Directive 26-04, a CISA determinou que todas as agências do Poder Executivo Civil Federal dos EUA protegessem seus sistemas vulneráveis em três dias. Embora a diretiva obrigatória se aplique especificamente a redes federais, autoridades de cibersegurança recomendam fortemente que todos os defensores de redes corporativas priorizem a aplicação das atualizações de segurança para interromper intrusões ativas. Para organizações que não possam implantar imediatamente o patch, a Microsoft recomenda restringir as portas UDP de entrada 500 e 4500 nos sistemas onde IKE não seja necessário, ou configurar firewalls de host para aceitar tráfego somente de endereços IP de pares verificados. A exploração rápida dessa falha de protocolo se soma a uma lista crescente de vulnerabilidades da Microsoft abusadas recentemente, incluindo uma falha de alta gravidade no Windows Task Host e uma vulnerabilidade RCE no SharePoint agora amplamente usada em campanhas de ransomware. Desde o fim de 2021, a CISA catalogou centenas de vulnerabilidades da Microsoft exploradas ativamente para ajudar os defensores a priorizar agressivamente a aplicação de patches.