Recapitulação técnica reúne vazamentos, ransomware, zero-days e falhas críticas

Semana concentra exposição de dados em NYU, interrupções em transporte, ransomware contra órgãos públicos, exploração de vulnerabilidades em Chrome, Veeam, MMC e Ivanti Connect Secure, além de atividade de espionagem contra telecomunicações.

Componente	Ambientes acadêmicos, transporte, varejo, governo local, contas de e-mail corporativo, mercados DeFi, Google Chrome, Veeam Backup & Replication, Speedify VPN no macOS, Microsoft Management Console e Ivanti Connect Secure.
Vetor	Os incidentes incluem redirecionamento de site, ransomware, phishing contra contas de e-mail, exploração de mercados de empréstimo, abuso de arquivos .msc, exploração de roteadores domésticos, web shells, desserialização inconsistente e injeção local de comandos via mensagens XPC.
Impacto	Foram relatadas exposição de dados de candidatos, interrupção de sistemas de imigração e serviços digitais, alegações de extorsão, roubo de criptomoedas, execução remota de código condicionada, escalonamento de privilégio local e persistência em appliances.
Prioridade	Aplicar correções disponíveis para CVE-2025-2783, CVE-2025-23120, CVE-2025-25364, CVE-2025-26633 e ambientes Ivanti afetados por CVE-2025-0282; revisar identidade, e-mail, web shells, túneis SSH, arquivos .msc, evidências de extorsão e exposição pública de dados.
Versões	Speedify VPN no macOS foi corrigido na versão 15.4.1; Google publicou correção para CVE-2025-2783; Microsoft publicou correção para CVE-2025-26633; Veeam corrigiu CVE-2025-23120.
Artefatos	Ransomware.Win.Clop, Ransomware.Wins.Clop, Ransomware.Wins.Clop.ta.*, CVE-2025-2783, CVE-2025-23120, CVE-2025-25364, CVE-2025-26633, CVE-2025-0282, .msc, MUIPath, Veeam.Backup.EsxManager.xmlFrameworkDs, Veeam.Backup.Core.BackupSummary, Resurge e SpawnChimera.

Resumo técnico

A recapitulação da semana reúne incidentes com perfis distintos, mas com pontos de convergência importantes para defesa: exposição direta de dados pessoais, interrupção de serviços de transporte, extorsão, comprometimento de contas de e-mail, abuso de aplicações corporativas e exploração de vulnerabilidades corrigidas recentemente. O conjunto inclui casos em educação, aeroportos, ferrovias, varejo, governo local, saúde assistiva, finanças descentralizadas, navegadores, backup corporativo, VPN de endpoint, consoles administrativos da Microsoft e appliances Ivanti Connect Secure.

O volume de eventos exige separação entre fatos confirmados e alegações ainda sem prova pública. Há incidentes com impacto descrito de forma concreta, como exposição de mais de 3 milhões de registros de candidatos da New York University, interrupção do sistema de imigração do Kuala Lumpur International Airport, roubo aproximado de US$ 13 milhões em ativos digitais da Abracadabra Finance e violação de contas de e-mail da Numotion afetando quase 500 mil pessoas. Também há casos ainda condicionados, como a inclusão do Sam's Club em um site de vazamento do grupo Clop sem publicação de prova no material analisado.

Para operadores de segurança, o ponto prático é tratar a semana como uma janela de validação cruzada. Equipes de AppSec devem revisar componentes afetados por desserialização, injeção de comandos, manipulação de arquivos administrativos e bypass de sandbox. Times de DFIR devem procurar evidências de contas de e-mail acessadas após phishing, publicação indevida de dados, web shells, túneis SSH, comandos internos expostos em sites de vazamento e alterações de integridade em appliances. Equipes de infraestrutura devem priorizar serviços expostos e sistemas que sustentam processos operacionais críticos, como venda de passagens, imigração, backup e acesso remoto.

NYU e dados de candidatos

A New York University sofreu um ataque que resultou na exposição de mais de 3 milhões de registros de candidatos. Os dados descritos incluem nomes, pontuações de testes, cursos pretendidos e CEPs. O invasor redirecionou o site da universidade para exibir essas informações e associou a ação a alegações sobre políticas de admissão sensíveis a raça, após a decisão da Suprema Corte dos Estados Unidos em 2023 contra ações afirmativas. O material também menciona arquivos baixáveis com dados de admissão desde 1989.

O vetor técnico detalhado não foi informado, portanto não é possível afirmar se houve falha de aplicação web, credenciais administrativas comprometidas, abuso de CMS, comprometimento de DNS ou acesso a infraestrutura de hospedagem. Mesmo assim, o efeito operacional é claro: alteração visível de propriedade web e exposição de bases históricas com dados educacionais e pessoais. Para resposta, a universidade precisaria preservar logs de hospedagem, painéis administrativos, registros DNS, acessos de conta privilegiada, trilhas de publicação de arquivos e evidências de movimentação entre sistemas que armazenavam dados de admissão.

• Dados impactados: nomes, pontuações de testes, cursos pretendidos e CEPs.
• Escopo temporal citado: arquivos de admissão desde 1989.
• Sinal defensivo: alteração não autorizada de conteúdo ou redirecionamento em propriedade web institucional.

Transporte e serviços públicos

O Kuala Lumpur International Airport sofreu um ataque que interrompeu o sistema de imigração e provocou atrasos relevantes para passageiros que entravam e saíam do país. O incidente também afetou balcões de check-in e gerou filas no aeroporto. Autoridades confirmaram uma exigência de resgate de US$ 10 milhões, o que coloca o caso no eixo de extorsão operacional contra serviço crítico, ainda que o texto não detalhe a família de ransomware, o ponto de entrada ou a extensão da criptografia.

A Ukrzaliznytsia, operadora ferroviária estatal da Ucrânia, também foi alvo de um ataque cibernético que afetou serviços online, incluindo o aplicativo móvel usado para compra de passagens. Os horários dos trens não foram impactados, mas passageiros precisaram comprar bilhetes fisicamente nas estáções. Essa distinção importa para análise de impacto: o ataque atingiu camada digital de atendimento e venda, mas não há confirmação de interrupção do controle de tráfego ferroviário. A contenção deve separar sistemas de bilhetagem, autenticação de usuários, APIs móveis e backends de pagamento de qualquer infraestrutura operacional de transporte.

• KLIA: interrupção de sistema de imigração, impacto em check-in e exigência de US$ 10 milhões.
• Ukrzaliznytsia: indisponibilidade de serviços online e aplicativo móvel de passagens.
• Limite técnico: não há confirmação de impacto em horários de trens no caso ucraniano.

Extorsão e vazamentos

O Sam's Club, cadeia de clubes de compras pertencente ao Walmart, investiga alegações de incidente de segurança depois de aparecer no site de vazamento do grupo Clop. O grupo afirmou que a empresa teria ignorado preocupações de segurança, mas ainda não publicou prova de violação no material analisado, e a empresa não divulgou detalhes técnicos específicos. Portanto, o caso deve ser tratado como alegação em apuração, sem inferir exfiltração confirmada, criptografia de sistemas ou impacto em clientes.

O condado de Union, na Pensilvânia, divulgou ter sofrido um ataque de ransomware. A declaração citada informa que os dados exfiltrados incluem números de Social Security e carteiras de motorista. Nenhum grupo de ransomware assumiu a responsabilidade no material disponível. O impacto confirmado está concentrado em exfiltração de dados sensíveis associada a uma administração local, o que exige notificação, inventário de sistemas atingidos, preservação de imagens forenses e revisão de contas administrativas usadas antes da descoberta.

A Numotion, empresa norte-americana de soluções de mobilidade, sofreu um ataque que resultou em violação de dados de quase 500 mil pessoas. O acesso inicial descrito ocorreu por e-mails de phishing bem-sucedidos, permitindo que uma parte não autorizada acessasse contas de e-mail de alguns empregados entre 2 de setembro de 2024 e 18 de novembro de 2024. A janela de acesso prolongada torna essencial revisar caixas postais, regras de encaminhamento, permissões OAuth, anexos, mensagens apagadas e possíveis dados pessoais ou de saúde presentes em conversas corporativas.

• Sam's Club: alegação do Clop sem prova publicada no material analisado.
• Union County: ransomware com exfiltração de Social Security Numbers e carteiras de motorista.
• Numotion: acesso a contas de e-mail após phishing entre 2 de setembro de 2024 e 18 de novembro de 2024.

Finanças descentralizadas

A Abracadabra Finance sofreu um ataque que resultou no roubo de aproximadamente US$ 13 milhões em moeda digital. O comprometimento foi associado a vulnerabilidades nos chamados cauldrons, mercados isolados de empréstimo que permitem aos usuários tomar crédito contra diferentes criptomoedas. O texto não descreve o contrato específico, a função explorada ou a transação inicial, por isso não é adequado afirmar falha de oráculo, reentrância, manipulação de preço ou autorização indevida sem evidência adicional.

A resposta informada inclui colaboração com empresas de segurança e oferta de recompensa de 20% ao atacante em troca da devolução dos fundos. Para equipes que operam protocolos semelhantes, a prioridade defensiva é revisar isolamento entre mercados, limites de empréstimo, dependências de preço, permissões administrativas, pausas de emergência e monitoramento de grandes mudanças em dívida, colateral e liquidez. Como o impacto já envolve transferência de ativos, telemetria on-chain, endereços envolvidos e chamadas de contrato devem ser preservados para reconstrução da sequência.

• Ativo afetado: mercados isolados de empréstimo chamados cauldrons.
• Impacto financeiro citado: aproximadamente US$ 13 milhões.
• Resposta citada: investigação com empresas de segurança e oferta de 20% para devolução dos fundos.

Vulnerabilidades corrigidas

Uma cadeia de exploração zero-day contra Google Chrome foi atribuída ao grupo APT chamado ForumTroll. A primeira falha, CVE-2025-2783, permitia bypass da proteção de sandbox do Chrome e foi descrita como parte de uma cadeia projetada para operar com outro exploit capaz de habilitar execução remota de código. O material não fornece o segundo identificador nem detalhes de payload; portanto, a ação defensiva concreta é aplicar a correção publicada para CVE-2025-2783, confirmar cobertura de atualização em endpoints e investigar navegações ou processos do Chrome em máquinas sensíveis durante a janela de exposição.

A falha crítica CVE-2025-23120 em Veeam Backup & Replication foi corrigida e permite execução remota de código por usuários de domínio autenticados. A origem técnica descrita é tratamento inconsistente de desserialização, com exploração possível por classes não bloqueadas, incluindo Veeam.Backup.EsxManager.xmlFrameworkDs e Veeam.Backup.Core.BackupSummary. O requisito de usuário autenticado de domínio não reduz a severidade em ambientes corporativos, porque servidores de backup concentram credenciais, cópias de dados e acesso a infraestrutura de recuperação.

A vulnerabilidade CVE-2025-25364 no Speedify VPN para macOS envolve injeção de comandos por falta de validação adequada de campos controlados pelo usuário, especificamente cmdPath e cmdBin, dentro de mensagens XPC. O atacante precisa de execução local para acionar o vetor descrito, mas a consequência pode incluir escalonamento de privilégio e comprometimento completo do sistema. A correção foi disponibilizada no Speedify VPN 15.4.1, tornando a validação de versão um controle imediato para frotas macOS.

A CVE-2025-26633, explorada pelo ator associado à Rússia Water Gamayun, afeta a Microsoft Management Console. O abuso descrito envolve manipulação de arquivos .msc e do caminho MUIPath, permitindo execução não autorizada de código e exfiltração de dados. A Microsoft publicou correção para a falha. Em ambientes Windows, o hunting deve se concentrar em criação, recebimento e execução de arquivos .msc incomuns, processos filhos iniciados a partir de consoles administrativos e alterações relacionadas ao caminho multilíngue.

• CVE-2025-2783: bypass de sandbox no Chrome em cadeia associada ao ForumTroll.
• CVE-2025-23120: execução remota de código no Veeam por usuários de domínio autenticados.
• CVE-2025-25364: injeção local de comandos no Speedify VPN para macOS via XPC.
• CVE-2025-26633: execução de código por abuso de .msc e MUIPath na Microsoft Management Console.

Espionagem e appliances

A operação atribuída ao Weaver Ant, ator com nexo chinês, mirou uma grande provedora de telecomunicações na Ásia. O grupo explorou roteadores domésticos e implantou um novo web shell para infiltração na rede, buscando acesso contínuo e coleta de dados sensíveis. As táticas citadas incluem uso de web shells e técnicas de tunelamento para manter persistência dentro do ambiente comprometido. O caso reforça que infraestrutura periférica e dispositivos domésticos podem compor caminhos indiretos para acesso a redes de alto valor.

A análise operacional do grupo BlackLock revelou uma falha de segurança operacional no site de vazamento do ransomware. A exploração de uma configuração incorreta permitiu acesso a comandos internos, arquivos de configuração e credenciais. O material descreve o BlackLock como uma reformulação do grupo Eldorado e informa 46 vítimas globais em setores como tecnologia, manufatura, construção, finanças e varejo. Para inteligência de ameaças, o valor está menos em um indicador único e mais na confirmação de infraestrutura, processos internos e amplitude setorial atribuída ao grupo.

A CISA publicou análise do backdoor Resurge, malware voltado a appliances Ivanti Connect Secure por meio da CVE-2025-0282, uma vulnerabilidade crítica de estouro de buffer divulgada em janeiro. O Resurge compartilha características com o SpawnChimera, incluindo tunelamento SSH, implantação de web shell e manipulação de arquivos para persistência e evasão. As capacidades descritas incluem escalonamento de privilégio, coleta de credenciais e alteração de integridade do sistema. Em appliances de acesso remoto, esses comportamentos exigem validação de integridade fora do próprio dispositivo quando possível, porque o malware pode interferir em arquivos e sinais locais.

• Weaver Ant: roteadores domésticos, web shell, tunelamento e alvo em telecomunicações asiática.
• BlackLock: configuração incorreta em site de vazamento expôs comandos, configurações e credenciais.
• Resurge: backdoor para Ivanti Connect Secure associado à CVE-2025-0282, com túneis SSH e web shells.

Hunting e telemetria

A caça deve priorizar evidências observáveis em camadas onde os ataques descritos deixam rastros consistentes: web, identidade, e-mail, endpoint, backup, acesso remoto e aplicações administrativas. Em propriedades web, alterações de redirecionamento, publicação de arquivos inesperados, upload de bases e mudanças em DNS ou CMS devem ser correlacionadas com acessos administrativos. Em ambientes de e-mail, a investigação precisa cobrir autenticações anômalas, regras de encaminhamento, consentimentos OAuth, login de localizações incomuns e mensagens de phishing que antecederam acesso a caixas postais.

Nos casos de vulnerabilidade, a telemetria precisa ser específica ao vetor. Para Chrome, processos anômalos filhos do navegador e versões sem correção devem ser inventariados. Para Veeam, eventos de autenticação de domínio, chamadas relacionadas a classes de desserialização e execução inesperada em servidores de backup merecem prioridade. Para Speedify no macOS, mensagens XPC associadas a cmdPath e cmdBin, execução local de comandos e elevação de privilégio devem ser revisadas. Para MMC, arquivos .msc recebidos por e-mail, baixados da web ou executados fora de fluxos administrativos normais são sinais relevantes.

Em appliances e infraestrutura de borda, web shells, túneis SSH, alterações em arquivos de sistema, persistência não documentada e integridade divergente entre backups e estado atual são sinais centrais. Roteadores domésticos explorados em operações de espionagem também ampliam a superfície de investigação: conexões de origem residencial para ativos sensíveis, túneis persistentes e tráfego administrativo fora de janelas operacionais devem ser avaliados sem assumir que todo acesso residencial é benigno.

• Buscar redirecionamentos, arquivos públicos inesperados e alterações administrativas em sites institucionais.
• Revisar contas de e-mail comprometidas por phishing, regras de encaminhamento e permissões OAuth.
• Inventariar versões e correções de Chrome, Veeam Backup & Replication, Speedify VPN, Windows/MMC e Ivanti Connect Secure.
• Procurar web shells, túneis SSH, manipulação de arquivos e alterações de integridade em appliances.
• Correlacionar arquivos .msc com execução de processos filhos incomuns e acessos a dados.

Mitigação

A ordem de resposta deve começar por correções já disponíveis e por contenção de sistemas com sinais de comprometimento. Atualizações para CVE-2025-2783, CVE-2025-23120, CVE-2025-25364, CVE-2025-26633 e ambientes Ivanti expostos à CVE-2025-0282 devem ser verificadas por inventário técnico, não apenas por política declarada. Servidores de backup, navegadores em estáções privilegiadas, VPNs macOS, consoles administrativos e appliances de acesso remoto devem receber prioridade por concentrarem credenciais, dados ou caminhos de administração.

Nos incidentes de ransomware e extorsão, a contenção deve isolar ativos afetados, preservar evidências, bloquear contas suspeitas e impedir publicação adicional de dados. Para casos com e-mail comprometido, a resposta precisa incluir redefinição de credenciais, revogação de sessões, remoção de regras maliciosas e revisão de dados acessíveis na janela de comprometimento. Para DeFi, a mitigação envolve pausas operacionais quando aplicáveis, análise de transações, proteção de funções administrativas e comunicação clara sobre contratos, mercados e valores afetados.

A validação final deve confirmar que o controle reduziu o vetor, e não apenas removeu sintomas. Em web shells e backdoors, apagar arquivos não basta sem entender o acesso inicial e as credenciais usadas. Em Veeam, a correção deve ser acompanhada de revisão de usuários de domínio e privilégios no servidor de backup. Em MMC, bloqueios de arquivos .msc não confiáveis e telemetria de execução ajudam a reduzir recorrência. Em ambientes de transporte, educação e governo local, planos de continuidade devem ser testados para manter serviços presenciais, comunicação pública e recuperação de dados durante falhas digitais.

• Aplicar correções publicadas e comprovar versões em inventário de ativos.
• Isolar sistemas com sinais de ransomware, web shell, túnel SSH ou manipulação de integridade.
• Revogar sessões e permissões de contas de e-mail afetadas por phishing.
• Revisar servidores Veeam para autenticações de domínio anômalas e execução inesperada.
• Bloquear ou investigar arquivos .msc não confiáveis e usos suspeitos de MUIPath.
• Validar integridade de appliances Ivanti Connect Secure fora de logs potencialmente adulterados.