Ransomware, fraude bancária e exploração ativa marcam boletim técnico de 2 de dezembro

Incidentes atingiram cadeia de suprimentos, serviços públicos, saúde, finanças e telecomunicações, enquanto falhas em ProjectSend, WordPress, Jenkins, Firefox e Windows ampliaram a superfície de risco.

Componente	Ambientes corporativos, municipais, hospitalares, financeiros, telecomunicações, aplicações ProjectSend, plugin WordPress Widget Options, Jenkins, Godot Engine, Firefox e Windows Task Scheduler.
Vetor	Ransomware contra provedores e organizações finais, transferência não autorizada em banco central, exploração remota de vulnerabilidades web, abuso de GDScript no Godot Engine e cadeia de zero-days em navegador e agendador do Windows.
Impacto	Interrupção de escalas, folha de pagamento, serviços municipais, operações hospitalares, sistemas de jogos, roubo condicionado de dados e execução remota de código nos casos em que o contexto confirma essa capacidade.
Prioridade	Conter ransomware, validar restauração de serviços, corrigir ProjectSend, Widget Options, Jenkins, Firefox e Windows, revisar contas criadas em aplicações expostas e investigar sinais de webshell, JavaScript malicioso e backdoors.
Versões e falhas	CVE-2024-11680 no ProjectSend, CVE-2024-8672 no plugin WordPress Widget Options, CVE-2024-47855 no núcleo do Jenkins, CVE-2024-54003 no Simple Queue Plugin, CVE-2024-9680 no Firefox e CVE-2024-49039 no Windows Task Scheduler.
Artefatos	GodLoader, GhostSpider, RomCom, RansomHub, Ransomware.Win.RansomHub, Ransomware.Wins.RansomHub.ta.*, Technique.win.GDscript.* e Dropper.Win.Godot.* aparecem como nomes técnicos associados aos casos descritos.

Resumo técnico

A semana de 2 de dezembro concentrou incidentes com impacto operacional direto em setores que dependem de disponibilidade contínua. O caso mais amplo envolve a Blue Yonder, fornecedora de software de cadeia de suprimentos, atingida por ransomware. A interrupção afetou clientes citados no contexto, incluindo Starbucks e redes de supermercados do Reino Unido, como Morrisons e Sainsbury’s. O efeito descrito não foi uma falha isolada de estáção de trabalho, mas uma degradação de processos corporativos dependentes da plataforma, incluindo escalas de funcionários e processamento de folha de pagamento. A empresa passou a atuar com firmas de segurança cibernética para recuperação e comunicou clientes afetados.

O mesmo conjunto de eventos inclui fraude bancária, paralisação municipal, indisponibilidade hospitalar, ransomware em saúde, ataque contra provedor de tecnologia de jogos, extorsão contra clube de futebol e exploração de vulnerabilidades com diferentes níveis de pré-condição. A combinação é relevante porque mostra três frentes simultâneas: ataques de extorsão com impacto em operação, exploração de aplicações expostas com correções já existentes e cadeias de execução de código que abusam de componentes legítimos, como mecanismo de jogos, navegador, agendador de tarefas e ferramentas administrativas.

Blue Yonder e cadeia de suprimentos

O ataque de ransomware contra a Blue Yonder atingiu um ponto sensível da cadeia de suprimentos digital: uma plataforma usada por terceiros para coordenar processos internos. O efeito confirmado no contexto envolve serviços de clientes, não apenas ativos internos da fornecedora. Quando escalas de funcionários e folha de pagamento dependem de uma aplicação central, a indisponibilidade passa a afetar lojas, equipes operacionais, rotinas administrativas e processamento de trabalho. O risco técnico principal é a propagação do impacto por dependência de serviço, mesmo sem confirmação de comprometimento direto em cada cliente.

Para defesa, a análise deve separar comprometimento do provedor, indisponibilidade do serviço consumido e alterações locais feitas durante contingência. Ambientes que dependem de integrações com Blue Yonder devem revisar filas, conectores, contas de serviço e rotinas manuais acionadas durante a interrupção. A recuperação precisa validar se os fluxos de folha e escala foram apenas atrasados ou se houve inserção, exclusão ou alteração indevida em registros sincronizados após a volta do serviço.

• Serviços de escalas e folha de pagamento foram citados como operações afetadas.
• Clientes mencionados incluem Starbucks, Morrisons e Sainsbury’s.
• A resposta informada envolve recuperação com apoio de empresas de segurança cibernética e comunicação a clientes afetados.

Fraude bancária em Uganda

O banco central de Uganda sofreu um ataque cibernético associado à transferência não autorizada de aproximadamente 62 bilhões de xelins ugandeses, cerca de 16,8 milhões de dólares. O contexto descreve duas linhas de apuração: uma atribuição pública a um grupo do Sudeste Asiático identificado como Waste, com envio de parte dos fundos para contas no Japão, e relatos independentes de possível envolvimento de pessoas internas no banco em colaboração com os invasores. Como há divergência sobre a participação interna, a investigação defensiva deve tratar essa hipótese como condicionada, não como conclusão.

O efeito técnico confirmado é a movimentação financeira não autorizada. A resposta deve priorizar trilhas de autorização, logs de transação, contas administrativas, aprovações em múltiplas etapas, alterações em beneficiários e acessos fora do padrão em sistemas bancários. Autoridades informaram recuperação de mais da metade do dinheiro desviado, o que sugere ação posterior de rastreamento e bloqueio, mas não elimina a necessidade de reconstruir o caminho de execução da fraude.

• Valor aproximado da transferência não autorizada: 62 bilhões de xelins ugandeses.
• Parte dos fundos teria sido direcionada a contas no Japão.
• Há relato de recuperação de mais da metade do montante.

Serviços públicos e saúde

A cidade de Hoboken, em Nova Jersey, fechou temporariamente escritórios depois de um ataque de ransomware. O impacto descrito inclui interrupção de operações municipais e limitação de acesso público a serviços essenciais. Não há confirmação de comprometimento de dados sensíveis, portanto a redação técnica deve manter a distinção entre indisponibilidade e exposição de informação. A prioridade operacional é restaurar serviços, preservar evidência, mapear sistemas desligados e verificar se a paralisação foi causada por criptografia, contenção preventiva ou ambos.

No setor de saúde, o Wirral University Teaching Hospital NHS Trust, no Reino Unido, enfrentou um ataque que levou à indisponibilidade de sistemas de TI. Funcionários passaram a usar processos manuais, e procedimentos agendados foram adiados. O Great Plains Regional Medical Center, em Oklahoma, sofreu ransomware em setembro, com comprometimento de dados de mais de 130 mil pessoas. Nesse caso, o contexto confirma envolvimento de informações pessoais e médicas, incluindo números de Social Security. A diferença entre os dois eventos é essencial: um descreve indisponibilidade hospitalar e atraso assistencial; o outro confirma comprometimento de dados de pacientes.

• Hoboken interrompeu temporariamente atividades em escritórios municipais.
• Wirral University Teaching Hospital NHS Trust recorreu a processos manuais e adiou procedimentos.
• Great Plains Regional Medical Center iniciou investigação, protegeu sistemas e notificou pacientes afetados.

Outros incidentes de ransomware

A International Game Technology, fornecedora global de tecnologia para jogos, sofreu um ataque cibernético e retirou determinados sistemas do ar para proteger a rede. O contexto não confirma ransomware, vazamento ou tipo de intrusão, então o fato técnico seguro é a contenção por desligamento seletivo e investigação de sistemas afetados. Esse tipo de resposta pode reduzir propagação, mas exige validação posterior de dependências, restauração e integridade dos serviços que foram isolados.

O Bologna FC confirmou ataque de ransomware reivindicado pelo grupo RansomHub. O contexto afirma roubo de contratos de patrocínio e informações pessoais de jogadores e funcionários, além de ameaça de publicação de dados médicos, pessoais e confidenciais dos atletas após suposta recusa de pagamento. Aqui há confirmação de extorsão com dados, diferente de incidentes em que apenas indisponibilidade foi descrita. A investigação deve preservar evidências de acesso a repositórios de documentos, sistemas de recursos humanos, arquivos médicos internos e canais usados para pressão de resgate.

• IGT retirou sistemas do ar para proteger a rede e investigar o ataque.
• Bologna FC foi associado a uma reivindicação do RansomHub.
• Dados citados no caso Bologna FC incluem contratos de patrocínio e informações pessoais de jogadores e funcionários.

Vulnerabilidades exploradas

A falha CVE-2024-11680 no ProjectSend está sob exploração ativa. O contexto descreve acesso remoto e não autenticado para modificar configurações, criar contas, enviar webshells e inserir JavaScript malicioso. A existência de correção há cerca de um ano e a estimativa de que 99% das instâncias ainda não estavam corrigidas elevam a prioridade de resposta. O impacto não deve ser descrito genericamente como vazamento; o que está sustentado é controle de configuração, criação de identidade na aplicação, upload de artefato executável no servidor web e injeção de código JavaScript.

O plugin WordPress Widget Options possui a vulnerabilidade crítica CVE-2024-8672, afetando mais de 100 mil sites. A pré-condição informada é acesso como colaborador. O caminho de exploração envolve entradas mal filtradas no recurso de lógica de exibição do plugin, permitindo execução arbitrária de código. Como a falha foi corrigida em atualização recente, a mitigação principal é atualizar o plugin e revisar contas com perfil de colaborador, alterações em widgets, conteúdo inserido em áreas de exibição e arquivos modificados no ambiente WordPress.

• ProjectSend deve ser verificado quanto a contas novas, alterações de configuração, webshells e JavaScript inserido.
• Widget Options exige revisão de usuários colaboradores e conteúdo associado à lógica de exibição.
• Instâncias não corrigidas do ProjectSend estão no centro da exploração ativa descrita.

Jenkins, Godot e backdoors

O Jenkins publicou correções para vulnerabilidades em seus produtos. Duas falhas aparecem como alta severidade: CVE-2024-47855, permitindo negação de serviço no núcleo do Jenkins, e CVE-2024-54003, uma vulnerabilidade de cross-site scripting armazenado no Simple Queue Plugin. O efeito técnico de cada uma é diferente: a primeira afeta disponibilidade do serviço Jenkins; a segunda permite persistência de script no contexto do plugin, com risco para usuários que interagem com a interface afetada. A resposta deve combinar atualização, revisão de plugins instalados e análise de eventos anômalos em filas ou páginas do Simple Queue Plugin.

Também foi descrito abuso do Godot Engine para execução de código GDScript malicioso. A técnica permite entrega de malware em Windows, macOS, Linux, Android e iOS. O carregador GodLoader usa esse método desde pelo menos junho de 2024 e teria infectado mais de 17 mil máquinas. A distribuição foi facilitada pela Stargazers Ghost Network, operação baseada no GitHub que usa diversos repositórios e estrelas para dar aparência de legitimidade ao conteúdo. A defesa deve considerar repositórios clonados, binários de projetos Godot, execução de GDScript fora do fluxo esperado e detecções associadas a Technique.win.GDscript.* e Dropper.Win.Godot.*.

• CVE-2024-47855 afeta disponibilidade no núcleo do Jenkins.
• CVE-2024-54003 afeta o Simple Queue Plugin com XSS armazenado.
• GodLoader usa GDScript malicioso e foi associado a mais de 17 mil máquinas infectadas.

Telecomunicações e zero-days

O grupo vinculado à China Salt Typhoon foi associado a ataques contra empresas de telecomunicações no Sudeste Asiático usando o backdoor GhostSpider. O acesso inicial é descrito como exploração de vulnerabilidades web, seguido de uso de ferramentas legítimas para movimentação lateral. O desenho modular do malware permite atualizações independentes, o que dificulta análise estática e detecção baseada apenas em assinatura fixa. A superfície de maior interesse são aplicações web expostas, contas usadas por ferramentas administrativas e caminhos de execução que pareçam legítimos, mas surjam após exploração inicial.

O grupo vinculado à Rússia RomCom explorou duas vulnerabilidades zero-day, CVE-2024-9680 no Firefox e CVE-2024-49039 no Windows Task Scheduler, contra vítimas na Europa e na América do Norte. As falhas foram encadeadas para execução remota de código sem interação do usuário. O fluxo descrito envolve redirecionamento de vítimas para sites maliciosos, implantação do backdoor RomCom e uso posterior para cargas adicionais e execução de comandos. A defesa deve priorizar atualização do navegador e do Windows, além de investigação de redirecionamentos, criação de tarefas, execução incomum vinculada ao navegador e conexões posteriores ao momento de visita a sites suspeitos.

• GhostSpider aparece associado a ataques contra telecomunicações no Sudeste Asiático.
• RomCom encadeou CVE-2024-9680 e CVE-2024-49039 para execução remota de código sem interação.
• O fluxo de RomCom inclui redirecionamento para sites maliciosos, backdoor e execução de comandos.

Hunting e telemetria

A investigação deve ser orientada por sinais específicos de cada caso. Em ransomware, procure desligamentos inesperados, criptografia de arquivos, criação de notas de resgate, mudanças em serviços críticos e uso de contas privilegiadas em horários fora do padrão. Nos incidentes de saúde e serviços públicos, a prioridade é correlacionar a linha do tempo de indisponibilidade com eventos de autenticação, alterações em controladores de domínio, execução remota e sistemas colocados manualmente fora do ar para contenção.

Em aplicações web, a telemetria deve focar ProjectSend e WordPress. Para ProjectSend, procure alterações de configuração, criação de contas não reconhecidas, upload de arquivos com comportamento de webshell e inserção de JavaScript em áreas servidas a usuários. Para WordPress Widget Options, revise ações realizadas por colaboradores, entradas associadas à lógica de exibição e alterações no plugin após a janela de exposição. Em Jenkins, colete logs de acesso à interface, falhas de disponibilidade, páginas do Simple Queue Plugin e qualquer script persistente não esperado.

• Contas criadas recentemente no ProjectSend sem vínculo operacional.
• Arquivos enviados ao servidor web com comportamento compatível com webshell.
• JavaScript inserido em páginas ou configurações de aplicação sem mudança aprovada.
• Eventos de redirecionamento para sites maliciosos antes da execução do backdoor RomCom.
• Execuções de GDScript ou projetos Godot fora de pipelines de desenvolvimento conhecidos.

Mitigação

A ordem de resposta deve começar pela contenção dos ambientes com impacto ativo. Sistemas com ransomware precisam de isolamento de rede, preservação de evidência, validação de backups e restauração controlada. Organizações dependentes de provedores afetados devem revisar integrações e reconciliar dados processados durante a interrupção. Em instituições financeiras, a resposta precisa bloquear transações suspeitas, preservar logs de autorização e revisar contas internas com capacidade de aprovar transferências ou alterar beneficiários.

Para vulnerabilidades, a ação principal é aplicar as correções disponíveis e validar a ausência de exploração anterior. ProjectSend deve receber correção imediata, seguido de revisão de contas, configurações, uploads e JavaScript persistido. WordPress deve atualizar o Widget Options e revisar permissões de colaboradores. Jenkins deve aplicar o boletim correspondente, atualizar componentes afetados e verificar o Simple Queue Plugin. Firefox e Windows devem ser atualizados para interromper a cadeia usada pelo RomCom. Ambientes com uso legítimo de Godot devem restringir origem de projetos e binários, revisar repositórios obtidos no GitHub e tratar GodLoader como indicador de comprometimento quando detectado.

• Isolar sistemas afetados por ransomware antes de iniciar restauração.
• Corrigir ProjectSend e investigar contas, configurações, webshells e JavaScript malicioso.
• Atualizar Widget Options, Jenkins, Firefox e Windows nos ativos expostos.
• Revisar repositórios e projetos Godot obtidos de fontes não confiáveis.
• Correlacionar logs de endpoint, aplicação, identidade e rede antes de concluir erradicação.