Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
Uma campanha de ataques cibernéticos batizada de CACTUS Qlik Ransomware ganhou destaque nos ataques de ransomware a sistemas de BI. Pesquisadores alertaram que agentes mal-intencionados estão explorando três vulnerabilidades de segurança do Qlik para atacar diferentes organizações e empresas. Vamos analisar como os agentes mal-intencionados conseguiram explorar essas vulnerabilidades e quais são as contramedidas que a Qlik está adotando.
Detalhes sobre o ransomware CACTUS Qlik
O Qlik Sense é uma plataforma de análise de dados e inteligência de negócios (BI) baseada na nuvem, frequentemente utilizada por órgãos governamentais. O CACTUS, por outro lado, é uma variante de ransomware descoberta no início deste ano, em maio. As táticas do ransomware CACTUS na época giravam em torno do aproveitamento de falhas conhecidas em dispositivos VPN para obter acesso inicial.
Embora os primeiros relatos sobre o ransomware CACTUS tenham surgido em maio de 2023, as explorações de vulnerabilidades foram rastreadas até março. As estratégias do grupo de hackers CACTUS centravam-se principalmente no roubo de dados confidenciais não criptografados antes da criptografia e, em seguida, no uso de táticas de dupla extorsão.
Pesquisadores da Arctic Wolf descobriram recentemente que os agentes maliciosos do grupo CACTUS estão explorando vulnerabilidades de segurança do Qlik. Três CVEs utilizados para os ataques foram identificados. Acredita-se que, após obterem acesso inicial, os agentes maliciosos por trás do CACTUS utilizem várias táticas, incluindo:
- Desinstalação de software de segurança.
- Alteração de logins administrativos.
- Instalação de um software de acesso remoto.
- Implantação do Protocolo de Área de Trabalho Remota (RDP) para movimentação lateral.
- Obtenção de dados e instalação do ransomware.
No entanto, segundo a Qlik, não há indícios de que as vulnerabilidades tenham sido exploradas por agentes mal-intencionados. Um declaração da plataforma de análise de dados afirma: “Embora nossos alertas iniciais não tenham indicado evidências de exploração maliciosa, estamos investigando esses novos relatos com diligência.”
Vulnerabilidades de segurança do Qlik exploradas por agentes mal-intencionados
Relatórios mencionaram três vulnerabilidades divulgadas nos últimos três meses que estão sendo exploradas. Essas vulnerabilidades incluem:
- CVE-2023-41265 – trata-se de uma vulnerabilidade de tunelamento de solicitações HTTP com classificação de gravidade de 9,9. Essa vulnerabilidade, se explorada, permite que um agente mal-intencionado eleve seus privilégios. Além disso, ela permite que cibercriminosos enviem solicitações executadas pelo servidor de back-end.
- CVE-2023-41266 – com uma pontuação de gravidade de 6,5, essa vulnerabilidade de acesso transversal pode ser explorada por um invasor remoto, permitindo que ele envie solicitações HTTP para pontos de extremidade não autorizados
- CVE-2023-48365 – uma vulnerabilidade de execução remota de código com pontuação de gravidade de 9,9, que se torna comum devido à validação incorreta de cabeçalhos HTTP e leva à escalada de privilégios por meio do tunelamento de solicitações HTTP.
Tanto o CVE-2023-41265 quanto o CVE-2023-41266 foram descobertas em agosto, e uma correção foi lançada no mês seguinte. No entanto, o fato de a correção estar incompleta foi o que levou à vulnerabilidade CVE-2023-48365.
Estratégias do grupo de hackers CACTUS utilizadas durante o ataque
Acredita-se que, após a exploração inicial, os agentes maliciosos tenham utilizado o PowerShell e o Serviço de Transferência Inteligente em Segundo Plano (BITS) para realizar o ataque. Eles utilizaram as ferramentas mencionadas abaixo para estabelecer persistência na rede e controlar o sistema remotamente.
- Solução de acesso remoto AnyDesk.
- Um link do PuTTY que foi renomeado para “putty.exe”.
- ManageEngine UMES para renomear executáveis que se passavam por arquivos do Qlik.
Violar as medidas de segurança do Qlik Sense, os invasores desinstalaram a solução de segurança de terminais da Sophos e alteraram a senha de administrador. A partir desse momento, o link do PuTTY foi usado para configurar um RDP e realizar movimentos laterais dentro da rede.
Os invasores do CACTUS utilizaram então o WizTree para analisar o espaço em disco e o rclone, renomeando “svchost.exe” para coletar dados, e posteriormente implantaram o ransomware em alguns sistemas que haviam sido afetados.
Medidas de prevenção do Qlik Sense
Mais detalhes técnicos, segundo a Arctic Wolf, serão divulgados assim que a investigação de resposta ao incidente for concluída. Atualmente, os pesquisadores afirmaram que “Com base nas sobreposições significativas observadas em todas as invasões, atribuímos todos os ataques descritos ao mesmo agente malicioso, responsável pela implantação do ransomware Cactus.”
A Qlik, por outro lado, lançou correções tanto em agosto quanto em setembro e instou os clientes a atualizarem o Qlik Sense Enterprise para Windows. Ao comentar sobre as recentes vulnerabilidades exploradas, a organização declarou: “Recomendamos enfaticamente que todos os clientes verifiquem se aplicaram esses patches. A Qlik continua comprometida com a proteção de nossos sistemas e fornecerá mais informações assim que estiverem disponíveis.”
Vale ressaltar que a Qlik afirma atender 40.000 clientes, o que torna essa vulnerabilidade de grande valor para os agentes mal-intencionados. O ataque do ransomware CACTUS Qlik serve como um forte alerta para estratégias de segurança cibernética para softwares de visualização e análises que operam em todo o mundo.
Conclusão
Pesquisadores observaram que vulnerabilidades nas soluções do Qlik Sense estão sendo exploradas por agentes mal-intencionados com o objetivo de implantar o ransomware CACTUS. As atividades dos hackers por trás desse ransomware e de suas variantes remontam a março de 2023.
Esses invasores obtêm acesso autorizado, configuram o controle remoto, adquirem dados por meio de movimentos laterais e implantam ransomware. A gravidade e as possíveis implicações negativas desses eventos exigem a adoção de medidas proativas de segurança cibernética para organizações em todo o mundo.
As fontes utilizadas neste artigo incluem matérias publicadas no The Hacker News e SecurityWeek.
