O ESTADO DA CIBERSEGURANÇA 2025

13º Anual Edição

Principais ameaças, tendências emergentes e recomendações do CISO

ÍNDICE

02 EVENTOS DE CIBERSEGURANÇA DE 2024

03 TENDÊNCIAS DE CIBERSEGURANÇA

01 INTRODUÇÃO

05 VULNERABILIDADES GLOBAIS SOFISTICADAS

06 PERSPECTIVA DE RESPOSTAS A INCIDENTES

04 ANÁLISE GLOBAL

07 PREVISÕES DO SETOR PARA 2025

08 RECOMENDAÇÕES DO CISO

INTRODUÇÃO O ESTADO DA CIBERSEGURANÇA EM 2025

00 11

MAYA HOROWITZ

Vice-presidente de pesquisa

INTRODUÇÃO Tenho o prazer de apresentar a 13ª edição anual do Estado de cibersegurança da Check Point. Os avanços de 2024, como IA e infraestrutura em nuvem, melhoraram nossa vida diária, mas também beneficiaram os criminosos cibernéticos. Este relatório destaca o impacto real dessas mudanças, oferecendo informações e recomendações de e para CISOs para 2025.

Com mais de uma década de análise, as informações da Check Point Research vêm de fontes de dados combinados inigualáveis que nenhuma outra empresa tem. Coletamos a telemetria de ataques de rede, nuvem, e-mail, endpoint e dispositivo móvel em clientes corporativos e SMB. Ao incorporar respostas a incidentes, dark web e descobertas de código aberto, alcançamos visibilidade em mais de 170 países para revelar tendências globais e regionais.

O relatório do estado da cibersegurança de 2025 destaca as principais ameaças, entre elas:

• As táticas de IA que influenciaram um terço das eleições globais por meio da desinformação.

• Um aumento de 58% nos ataques de infostealers, com foco no acesso corporativo.

• Os ataques de ransomware mudaram da criptografia para a extorsão de exfiltração de dados, sendo que o setor de saúde é agora o segundo mais visado.

• Rede híbrida que permite a movimentação lateral entre o local e a nuvem.

• As cadeias de suprimentos de hardware e software tiveram o maior aumento de ataques

Gostaria de enfatizar o compromisso da Check Point com a segurança do cliente. Em 2024, os dispositivos de borda foram explorados para acessar a rede corporativa por meio de credenciais vazadas e vulnerabilidades. Uma das muitas vulnerabilidades de dia zero divulgadas estava em um produto da Check Point: a vulnerabilidade de divulgação de informações da VPN (CVE-2024-24919). Nós o divulgamos prontamente, lançamos um patch em um dia e apoiamos proativamente os poucos clientes potencialmente afetados com a resposta e a mitigação de incidentes. Nossa dedicação em proteger os clientes está em nosso DNA.

Embora a Check Point tenha como objetivo proteger nossos clientes com nossa pesquisa, esperamos que este relatório também atenda às necessidades do setor em geral, à medida que combinamos forças e compartilhamos conhecimento. Em nome da família da Check Point, espero que este relatório seja útil tanto para os profissionais de segurança quanto para os executivos de nível C.

Aproveite a leitura!

Maya Horowitz, Vice-Presidente de Pesquisa

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 20254

EVENTOS DE CIBERSEGURANÇA DE 2024

00 22 O ESTADO DA CIBERSEGURANÇA EM 2025

Depois de divulgar duas vulnerabilidades de dia zero, as VPNs Connect Secure da Ivanti enfrentaram exploração em massa. Milhares de dispositivos VPN foram comprometidos, afetando vítimas como a cibersegurança e a Infrastructure Security Agency (CISA) dos EUA.

Check Point Research descobriu um NFT scam que tem como alvo os titulares de mais de 100 projetos populares. Os golpistas enviam airdrops aparentemente legítimos com links para sites fraudulentos. As vítimas são induzidas a conectar suas carteiras, concedendo aos invasores acesso a seus fundos.

A Microsoft relatou um ataque do grupo russo Midnight Blizzard (Nobelium), que usou um ataque de pulverização de senha para comprometer contas de e-mail corporativas, incluindo as da liderança sênior, da cibersegurança e da equipe jurídica.

O Harmony Endpoint e o Threat Emulation da Check Point protegem contra essa ameaça (APT.Win.APT29; APT.Wins.Nobelium)

A HealthEC LLC sofreu uma violação de dados que afetou 4,5 milhões de pessoas, comprometendo nomes, endereços, DOBs, SSNs, informações médicas e de cobrança e dados de seguro saúde.

A quadrilha do ransomware ALPHV atacou a subsidiária do UnitedHealth Group, roubando seis terabytes de dados. As operações de clínicas e hospitais militares dos EUA em todo o mundo foram interrompidas, exigindo processos manuais de prescrição.

O Harmony Endpoint e o Threat Emulation da Check Point protegem contra essa ameaça (ransomware.Wins.BlackCat. ta.*; Ransomware.Win.BlackCat)

O Cutout.Pro, um serviço de edição de fotos e vídeos com tecnologia de IA, sofreu uma violação de dados que expôs os dados pessoais de 20 milhões de usuários, incluindo endereços de e-mail, senhas com hash e endereços IP.

O grupo APT chinês Earth, Krahang, teve como alvo 70 entidades governamentais em todo o mundo em uma campanha de espionagem cibernética, ativa desde o início de 2022, utilizando vulnerabilidade em servidores voltados para a Internet e táticas de spear-phishing.

Check Point Research rastreou o agente de ameaças com motivação financeira Magnet Goblin, que explorou vulnerabilidades de um dia em servidores como Ivanti Connect Secure VPN, Magento e Qlik Sense. O agente implantou uma nova versão Linux do NerbianRAT e do stealer de credencial WARPWIRE JavaScript, ao mesmo tempo em que comprovou a rápida adoção de exploits.

O IPS e o Harmony Endpoint da Check Point protegem contra essa ameaça (RAT_Linux_Nerbian_*)

Explorando uma vulnerabilidade da Fortinet, hackers apoiados pelo Estado chinês visaram uma rede de pesquisa militar não classificada em uma operação de espionagem cibernética contra o Ministério da Defesa dos Países Baixos, marcando a primeira atribuição pública de um ciberataque à China.

Foi identificada uma vulnerabilidade de alta gravidade no mecanismo V8 JavaScript do Google Chrome, CVE-2024-0517. A falha pode permitir que um invasor remoto explore a corrupção da pilha por meio de uma página HTML criada. Desde então, o Google corrigiu a vulnerabilidade.

O Harmony IPS da Check Point protege contra essa ameaça (Google Chrome Out of Bounds Write (CVE-2024-0517))

A Check Point Research descobriu uma vulnerabilidade crítica de execução remota de código (RCE) no Microsoft Outlook, chamada de #MonikerLink (CVE-2024-21413). O #MonikerLink permite que invasores remotos implantem um link que contorna o Protocolo Protected View, o que pode levar ao vazamento de credenciais e a recursos de RCE. Desde então, a Microsoft corrigiu a vulnerabilidade.

O IPS blade da Check Point protege contra essa ameaça (Microsoft Outlook Malicious Moniker Link Remote Code Execution (CVE-2024-21413)

O Departamento de Justiça dos EUA interrompeu a botnet KB, usada pela APT Volt Typhoon, afiliada à China, para mascarar sua identidade enquanto atacava a infraestrutura crítica nos EUA. O grupo explorou dispositivos Cisco e NetGear SOHO vulneráveis e em fim de vida útil para obter acesso inicial. Em resposta, a CISA e o FBI divulgaram orientações para fornecedores sobre como proteger roteadores SOHO.

O Threat Emulation da Check Point protege contra essa ameaça (APT.Wins.VoltTyphoon; InfoStealer.Wins. VoltTyphoon)

OS EVENTOS DE CIBERSEGURANÇA QUE DEFINIRAM 2024

FEV MARJAN P1

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 20256

https://blog.checkpoint.com/security/check-point-research-unfolds-navigating-the-deceptive-waters-unmasking-a-sophisticated-ongoing-nft-airdrop-scam/ https://research.checkpoint.com/2024/magnet-goblin-targets-publicly-facing-servers-using-1-day-vulnerabilities/ https://research.checkpoint.com/2024/magnet-goblin-targets-publicly-facing-servers-using-1-day-vulnerabilities/ https://research.checkpoint.com/2024/the-risks-of-the-monikerlink-bug-in-microsoft-outlook-and-the-big-picture/

Os pesquisadores da Check Point detectaram uma campanha de typosquatting composta por mais de 500 pacotes maliciosos implantados no PyPI (Python Package Index), apresentando riscos de instalação de malware para roubo de PII.

O CloudGuard Code Security da Check Point protege o site contra essa ameaça.

O grupo hacktivista de língua russa RGB-TEAM violou o site do procurador-geral da Rússia e vazou 100.000 registros criminais de 1993 a 2022 no Telegram. Os dados incluíram detalhes sobre crimes como roubo e tráfico de drogas.

Uma violação de dados da AT&T expôs as informações pessoais de aproximadamente 51 milhões de clientes antigos e atuais, incluindo potencialmente nomes completos, endereços residenciais, endereços de e-mail, números de telefone, números de previdência social, números de contas e senhas da AT&T.

Check Point Research relata uma onda de ataques do site scam em que os invasores usam vários métodos, incluindo códigos QR maliciosos e e-mails phishing, para obter as credenciais dos contribuintes dos EUA e roubar as restituições do IRS.

Os EUA e o Reino Unido anunciaram uma acusação criminal e sanções contra o APT31, um grupo de hackers chineses, por seu papel em supostos ataques contra funcionários do governo dos EUA e do Reino Unido. Check Point Research explorou o uso de vulnerabilidade de dia zero pelo grupo

OS EVENTOS DE CIBERSEGURANÇA QUE DEFINIRAM 2024

MAIO JUNHOABR P2

A Check Point Research descobriu uma campanha de espionagem cibernética direcionada a organizações governamentais da África e do Caribe. Atribuída ao agente de ameaças chinês Sharp Dragon, a campanha adota o Cobalt Strike Beacon como carga útil, permitindo funcionalidades de backdoor como comunicação C2 e execução de comandos, minimizando a exposição de suas ferramentas personalizadas. Essa abordagem sugere uma compreensão mais profunda de seus alvos.

A República Tcheca, a Alemanha e a OTAN revelaram uma campanha de espionagem direcionada a instituições tchecas por meio de uma vulnerabilidade do Microsoft Outlook atribuída ao grupo APT28, afiliado ao Estado russo, que vem realizando um esforço de espionagem de longo prazo em toda a Europa.

Uma violação de dados da Dell afetou 49 milhões de clientes depois que seu banco de dados foi listado em um fórum de hackers. Os dados expostos incluem nomes completos, endereços residenciais e detalhes do pedido.

Uma violação de dados expôs 500 GB de dados biométricos da Índia, afetando policiais, militares e funcionários públicos durante as eleições. O vazamento envolveu bancos de dados inseguros da ThoughtGreen Technologies e da Timing Technologies, incluindo impressões digitais e escaneamentos faciais. As informações poderiam ser aproveitadas para manipular sistemas biométricos nas eleições indianas.

Dados da Ticketmaster e do Banco Santander foram colocados à venda em um fórum de crimes cibernéticos pela ShinyHunters, uma famosa gangue cibernética. A violação potencialmente expõe as informações pessoais de milhões de clientes. Os relatórios indicam que o agente da ameaça obteve acesso à Ticketmaster e ao Santander usando as credenciais roubadas de um funcionário da Snowflake, uma grande empresa de armazenamento em nuvem.

A bolsa de criptomoedas japonesa DMM Bitcoin confirmou uma violação de dados que resultou na perda de US$ 308 milhões em BTC, um dos maiores roubos de criptomoedas.

A Water Sigbin 8220 Gang, ligada à China, explorou uma vulnerabilidade no Oracle WebLogic (CVE-2017-3506 e CVE- 2023-21839) para implantar a mineração de criptomoedas malware usando scripts do PowerShell com codificação hexadecimal URL e técnicas de execução sem arquivo.

O Check Point IPS protege contra essa ameaça (Oracle WebLogic WLS Security Component Remote Code Execution (CVE-2017-10271), Oracle WebLogic Server Improper Access Control (CVE-2023-21839)).

Check Point Research analisou o Rafel RAT, uma ferramenta de administração remota de código aberto para espionagem e ransomware ataques a dispositivos Android. O malware tinha como alvo organizações de alto perfil, especialmente no setor militar, com vítimas principalmente dos EUA, China e Indonésia. Ele permite a exfiltração de dados, a vigilância e o controle completo do dispositivo, resultando em graves violações de privacidade e segurança.

O Harmony Mobile da Check Point protege o site contra essa ameaça.

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 20257

https://blog.checkpoint.com/securing-the-cloud/pypi-inundated-by-malicious-typosquatting-campaign/ https://blog.checkpoint.com/securing-the-cloud/pypi-inundated-by-malicious-typosquatting-campaign/ https://blog.checkpoint.com/security/beware-the-tax-scam-tsunami-unmasking-qr-code-schemes-bogus-refunds-and-ai-imposters/ https://www.reuters.com/technology/cybersecurity/apt31-chinese-hacking-group-behind-global-cyberespionage-campaign-2024-03-26/ https://research.checkpoint.com/2024/sharp-dragon-expands-towards-africa-and-the-caribbean/ https://research.checkpoint.com/2024/sharp-dragon-expands-towards-africa-and-the-caribbean/ https://research.checkpoint.com/2024/rafel-rat-android-malware-from-espionage-to-ransomware-operations/

A Check Point Research descobriu que mais de 20 mil câmeras e roteadores Ubiquiti são vulneráveis (CVE-2017-0938) a ataques de amplificação e riscos de privacidade devido às portas UDP 10001 e 7004 expostas. Essas portas permitem o acesso não autorizado às informações do dispositivo, que podem ser exploradas para ataques técnicos e de engenharia social.

A Check Point Research observou um aumento nas vulnerabilidades de Injeção de modelo do lado do servidor (Server- Side Template Injection, SSTI) que permite que os invasores executem comandos e acessem dados confidenciais. Casos notáveis envolvem o Atlassian Confluence e o CrushFTP. Essas vulnerabilidades representam riscos significativos, como roubo de dados e danos à reputação, refletidos em um aumento de CVEs críticos

O IPS da Check Point protege contra essa ameaça (Python Server-Side Template Injection, Java Server-Side Template Injection, PHP Server-Side Template Injection, Ruby Server- Side Template Injection, Node.js Server-Side Template Injection, Expression Language Server-Side Template Injection)

Após as eleições presidenciais venezuelanas de julho, a Check Point Research revelou que os grupos hacktivistas Anonymous Venezuela e Cyber Hunters lançaram ataques DDoS e tentativas de hacking contra o governo, impulsionados por alegações de fraude eleitoral ligadas à administração de Nicolás Maduro.

O Harmony Endpoint e o Threat Emulation protegem contra essa ameaça (InfoStealer.Wins.PhemedroneStealer.*)

A Check Point Research identificou a rede Stargazers Ghost, que consiste em 3.000 repositórios do GitHub que distribuem malware e links maliciosos por meio de esquemas phishing usando um modelo de Distribuição como Serviço (DaaS). A rede compartilhou vários tipos de malware, como o Atlantida Stealer e o RedLine, e gerou lucros significativos.

O Harmony Endpoint e a Threat Emulation da Check Point oferecem proteção contra essa ameaça (Ransomware.Win. Lockbit) Trojan.WIN32.AtlantidaStealer*, InfoStealer.Wins. Lumma.ta*, InfoStealer.Win.Lumma*, Injector.Win.RunPE.C, Loader.Wins.GoBitLoader.A, Trojan.Wins.Imphash.taim.LV, InfoStealer.Wins.Redline.ta.BY)

O RockYou2024, um vazamento de quase 10 bilhões de senhas de texto simples provenientes de várias violações de dados, apresenta riscos significativos de preenchimento de credenciais e ataques de força bruta que podem afetar várias contas e serviços on-line.

45 milhões de registros da Rite Aid foram roubados em um ataque de ransomware, supostamente incluindo informações de identificação de clientes e números de prêmios da Rite Aid. O grupo de ransomware RansomHub assumiu a responsabilidade e ameaçou vazar os dados roubados.

A Threat Emulation e o Harmony Endpoint da Check Point protege contra essa ameaça (Ransomware.Win.RansomHub; Ransomware.Wins.RansomHub.ta.*)

O aplicativo de segurança de localização Life360 e a ferramenta de gerenciamento de projetos Trello sofreram violações de dados devido à vulnerabilidade do site API. As informações pessoais dos 442.519 clientes da Life360 foram expostas, enquanto 21,1 GB de dados do Trello vazaram. O agente de ameaça “emo” assumiu a responsabilidade e compartilhou os dados roubados na dark web.

OS EVENTOS DE CIBERSEGURANÇA QUE DEFINIRAM 2024

AGO SETEMBROJULHO P3 93 GB de dados confidenciais foram roubados da filial da Planned Parenthood em Montanna pelo grupo de ransomware RansomHub, afetando principalmente os sistemas administrativos de TI da organização.

A Threat Emulation e o Harmony Endpoint da Check Point protege contra essa ameaça (Ransomware.Win.RansomHub; Ransomware.Wins.RansomHub.ta.*)

A Check Point Research identificou uma campanha cibernética iraniana direcionada à rede governamental iraquiana usando o malware Veaty e Spearal. As técnicas incluem um backdoor IIS passivo, tunelamento de DNS e comunicação C2 por meio de e-mails comprometidos, o que indica vínculos com o grupo APT34. A campanha provavelmente utiliza engenharia social para a infecção inicial e tem uma sofisticada infraestrutura de C2.

O Threat Emulation e o Harmony Endpoint da Check Point protegem contra essa ameaça (APT.Wins.Oilrig.ta.B/C/D/E, APT.Win.OilRig.F, APT.Win.OilRig.WA.G, APT.Win.OilRig.H)

O FBI, a CISA e a NSA informam que a Unidade 29155 do GRU russo tem como alvo a Ucrânia com desfigurações de sites, roubo de dados e malware WhisperGate, interrompendo os esforços de ajuda. Eles também visaram setores em todo o mundo, incluindo governo, finanças, transporte, energia e saúde.

O Threat Emulation e o Harmony Endpoint da Check Point protegem contra essa ameaça (Trojan.Win.WhisperGate; Trojan.Wins.WhisperGate.ta.*; (Trojan.Wins.Whispergate)

Uma vulnerabilidade no aplicativo ChatGPT para macOS permitiu que os invasores implantassem um spyware persistente, o SpAIware, na memória do aplicativo por meio de injeção indireta de prompt, permitindo a exfiltração contínua de dados de entradas de usuários e sessões de bate-papo futuras. Desde então, a OpenAI resolveu o problema.

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 20258

https://blog.checkpoint.com/research/over-20000-ubiquiti-cameras-and-routers-are-vulnerable-to-amplification-attacks-and-privacy-risks/ https://blog.checkpoint.com/research/over-20000-ubiquiti-cameras-and-routers-are-vulnerable-to-amplification-attacks-and-privacy-risks/ https://research.checkpoint.com/2024/server-side-template-injection-transforming-web-applications-from-assets-to-liabilities/ https://research.checkpoint.com/2024/server-side-template-injection-transforming-web-applications-from-assets-to-liabilities/ https://research.checkpoint.com/2024/stargazers-ghost-network/ https://research.checkpoint.com/2024/iranian-malware-attacks-iraqi-government/ https://research.checkpoint.com/2024/iranian-malware-attacks-iraqi-government/

O FBI, o Departamento do Tesouro dos EUA e a Diretoria Nacional de Cibersegurança de Israel (INCD) divulgaram um comunicado conjunto de cibersegurança atribuindo uma campanha em grande escala do phishing que se fazia passar pelo INCD e mirava organizações israelenses para o grupo cibernético iraniano Emennet Pasargad. A Check Point Research analisou o malware acompanhando sua evolução e aprendizado.

O Threat Emulation e o Harmony Endpoint da Check Point protegem contra essa ameaça (Behavioral.Win. FakeChrome.B e Trojan.Wins.FakeUpdater.A)

A Check Point Research monitorou uma campanha de phishing em larga escala chamada CopyRh(ight)adamantys, que usa a versão mais recente do Rhadamanthys stealer (0.7). Essa campanha tem como alvo regiões como os EUA, a Europa, o Leste Asiático e a América do Sul, usando um tema de direitos autorais e fazendo- se passar por várias empresas, adaptando cada e-mail a partir de diferentes contas do Gmail.

O Threat Emulation e o Harmony Endpoint da Check Point protegem contra essa ameaça (InfoStealer.Wins. Rhadamanthys.ta.V, InfoStealer.Wins.Rhadamanthys.* e InfoStealer.Wins.Rhadamanthys.*)

A Check Point Research rastreou o agente de , vinculado à Gaza Cybergang, afiliada ao Hamas, conduzindo espionagem contra entidades na Autoridade Palestina, Jordânia, Iraque, Egito e Arábia Saudita, e expandiu para ataques disruptivos conectados ao malware SameCoin visando entidades israelenses em 2024.

O Threat Emulation e o Harmony Endpoint da Check Point protegem contra essa ameaça (APT.Wins.Wirte.ta.A/B/C/D/ E/F, ransom.win.honey e infoastealer.win.blackguard.d)

A Check Point Research analisou a “Operação MiddleFloor”, uma campanha de desinformação direcionada ao governo e aos setores educacionais da Moldávia antes das eleições de outubro de 2024. O grupo Lying Pigeon, alinhado à Rússia, usava e-mails falsos para espalhar informações falsas sobre a adesão à UE enquanto coletava dados para possíveis ataques de malware.

Uma nova plataforma de phishing como serviço chamada Mamba 2FA visa ataques de phishing do adversário no meio. Ele imita as páginas de login do Microsoft 365 e ignora a autenticação multifatorial, roubando credenciais e o endereço cookies enviado aos invasores por meio de um bot do Telegram.

O FBI e a CISA investigam violações do grupo afiliado ao governo chinês Salt Typhoon em empresas de telecomunicações dos EUA, incluindo AT & T, Verizon e Lumen Technologies. Os ataques visaram sistemas de escuta telefônica e dispositivos do presidente eleito Trump, da ex-vice-presidente Harris e de outros políticos notáveis.

OS EVENTOS DE CIBERSEGURANÇA QUE DEFINIRAM 2024

NOV DEZOUT P4 A Check Point Research descobriu um novo exploit do Godot Engine — uma plataforma de desenvolvimento de jogos — que executava um código GDScript malicioso. A técnica permite que os atacantes distribuíssem o malware em plataformas como Windows, macOS, Linux, Android e iOS, evitando a detecção pela maioria das soluções antivírus. O carregador malicioso, “GodLoader”, usando essa técnica, já infectou mais de 17.000 máquinas.

O Harmony Endpoint e o Threat Emulation da Check Point fornecem proteção contra essa ameaça (Technique.win. GDscript.*, Dropper.Win.Godot.*)

A Check Point Research analisou a última variante do ransomware Akira, escrita em Rust, que visava principalmente os servidores ESXi bare metal hypervisor no início de 2024. O relatório mostrou como as expressões idiomáticas do Rust, o código boilerplate e as estratégias de compilação foram usados para criar um assembly complexo.

O Harmony Endpoint e o Threat Emulation da Check Point fornecem proteção contra essa ameaça (Ransomware_ Linux_Akira_C/D, Ransomware.Wins.Akira.G/H)

A agência de inteligência ucraniana HUR confirmou um DDoS contra o Gazprombank da Rússia, um dos maiores bancos da Rússia, que visava interromper as operações financeiras relacionadas aos esforços de guerra da Rússia na Ucrânia.

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 20259

https://research.checkpoint.com/2024/wezrat-malware-deep-dive/ https://research.checkpoint.com/2024/massive-phishing-campaign-deploys-latest-rhadamanthys-version/ https://research.checkpoint.com/2024/hamas-affiliated-threat-actor-expands-to-disruptive-activity/ https://research.checkpoint.com/2024/disinformation-campaign-moldova/ https://research.checkpoint.com/2024/gaming-engines-an-undetected-playground-for-malware-loaders/ https://research.checkpoint.com/2024/gaming-engines-an-undetected-playground-for-malware-loaders/ https://research.checkpoint.com/2024/inside-akira-ransomwares-rust-experiment/ https://research.checkpoint.com/2024/inside-akira-ransomwares-rust-experiment/

TENDÊNCIAS DE CIBERSEGURANÇA

00 33 O ESTADO DA CIBERSEGURANÇA EM 2025

OPERAÇÕES DE DESINFORMAÇÃO E INFLUÊNCIA Em 2024, as campanhas de desinformação atingiram novos níveis de complexidade, impulsionadas pela integração de IA e grandes modelos de linguagem (LLMs). Essas operações se concentraram em eventos globais, com estados-nação como China, Rússia e Irã acusados de usar táticas avançadas para manipular a opinião pública, minar a confiança e interferir nas eleições para desestabilizar os processos democráticos.

Com base nas descobertas, a IA foi utilizada em pelo menos um terço das eleições que ocorreram em todo o mundo entre setembro de 2023 e fevereiro de 2024, seja pelos próprios candidatos ou potencialmente por agentes estrangeiros. Casos recentes demonstram esse desenvolvimento, como o grupo APT CopyCop, ligado à Rússia, que visou às eleições primárias de junho de 2024 nos EUA com segmentos de notícias fabricados que apresentavam retratos deepfake de figuras políticas. Distribuído por meio do X (anteriormente conhecido como Twitter) e do Facebook, esse conteúdo explorou os algoritmos da plataforma para atingir dados demográficos específicos dos eleitores. Os bots gerados por IA disseminaram ainda mais narrativas divisivas, fazendo-se passar por artigos de opinião genuínos para polarizar o eleitorado.

Campanhas iranianas, muitas vezes ligadas ao Corpo da Guarda Revolucionária Islâmica (IRGC), também visaram as eleições presidenciais dos EUA atacando figuras em operações de “hack- and-leak”. Jornalistas, ativistas e lobistas também foram alvos de engenharia social, personificações, phishing e malware de coleta de credenciais. Essas operações demonstraram a capacidade do Irã de combinar desinformação com infiltração cibernética para influenciar a percepção do público.

Enquanto isso, agentes alinhados à China usaram vídeos deepfake gerados por IA que retratavam falsos endossos e anúncios de serviço público enganosos. Esses vídeos, amplamente divulgados em plataformas como X e TikTok, tinham como objetivo desacreditar os candidatos e aprofundar as divisões partidárias. Além disso, postagens virais incorporadas a perguntas de pesquisa distorcidas aparentemente retratavam o apoio a determinados candidatos ou fabricavam evidências de fraude, minando a confiança no processo eleitoral.

Além das eleições presidenciais de alta expressão nos EUA, as eleições presidenciais de Taiwan e da Romênia e o referendo da Moldávia sobre a UE tornaram-se os principais alvos da guerra de desinformação cibernética. Campanhas atribuídas à China usaram artigos gerados por IA e publicações em mídias sociais para imitar fontes de notícias legítimas, desacreditar candidatos e influenciar a opinião pública. Vídeos de deepfake retratando candidatos fazendo declarações polêmicas circularam amplamente, enquanto perguntas de pesquisa enganosas sugeriam um declínio no apoio a candidatos

CYBER WARS EDIÇÃO 2024 A comunidade global especula há muito tempo que guerras devastadoras seriam travadas no ciberespaço, com os estados-nação implantando armas digitais do juízo final capazes de paralisar a infraestrutura crítica em um ataque decisivo. No entanto, apesar da escalada sem precedentes nas atividades cibernéticas, nenhum evento apocalíptico ocorreu. Seja devido às capacidades limitadas, ao medo da destruição mútua ou à relutância em desencadear um caos irreversível, a natureza da guerra cibernética seguiu um caminho diferente.

Os estados-nação mudaram seu foco para conflitos que minam a confiança pública, exploram fraturas sociais e desestabilizam as instituições internamente. As campanhas envolvem a manipulação de informações nas mídias sociais, grupos “hacktivistas” assumem o crédito por ciberataques apoiados pelo Estado, e a ameaça de acesso secreto a redes comprometidas e dispositivos mal protegidos é constante.

Cyber Wars - Edição 2024

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202511

https://research.checkpoint.com/2024/beyond-imagining-how-ai-is-actively-used-in-election-campaigns-around-the-world/ https://go.recordedfuture.com/hubfs/reports/cta-2024-0509.pdf https://8726485.fs1.hubspotusercontent-na1.net/hubfs/8726485/Reports/KELA%20Report%20-%20Unmasking%20Deepfakes%20-%20When%20Digital%20Deception%20Becomes%20the%20New%20Reality%20-%202024.pdf https://edition.cnn.com/2024/08/19/politics/us-concludes-iran-behind-trump-biden-harris-hacking/index.html https://www.resecurity.com/blog/article/iranian-cyber-actors-irgc-targeting-the-2024-us-presidential-election https://www.cisa.gov/news-events/alerts/2024/10/08/cisa-and-fbi-release-fact-sheet-protecting-against-iranian-targeting-accounts-associated-national https://blogs.microsoft.com/on-the-issues/2024/04/04/china-ai-influence-elections-mtac-cybersecurity/ https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/how-threat-actors-conduct-election-interference-operations-an-overview/ https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/how-threat-actors-conduct-election-interference-operations-an-overview/ https://www.state.gov/gec-special-report-how-the-peoples-republic-of-china-seeks-to-reshape-the-global-information-environment/ https://www.npr.org/2024/01/11/1216340756/taiwan-election-disinformation-social-media-ptt

Da mesma forma, o grupo WIRTE, vinculado ao Hamas, mostrou suas capacidades cibernéticas em evolução usando a variante do wiper SameCoin para atingir hospitais e municípios em Israel, exacerbando o custo psicológico e logístico do conflito em andamento.

Na Europa Oriental, grupos ligados à Rússia continuaram a transformar malwares destrutivos em armas como parte de sua estratégia de guerra híbrida mais ampla na Ucrânia. O famoso APT44 (também conhecido como Sandworm), afiliado à Rússia, introduziu o AcidPour, uma variante de wiper avançada do malware AcidRain. O AcidPour foi implantado para interromper a infraestrutura crítica ucraniana, a rede de telecomunicações e os provedores de serviços de Internet. Esse malware foi projetado não apenas para destruir sistemas, mas também para se inserir mais profundamente nos ambientes, exfiltrando planos militares confidenciais e cortando canais de comunicação vitais. Essas operações ressaltaram a intenção da Rússia de aproveitar as ferramentas cibernéticas como um mecanismo de apoio vital em seus conflitos geopolíticos.

PREPARAÇÃO PARA INTERRUPÇÕES — POSSÍVEIS “BOTÕES VERMELHOS” Enquanto algumas nações adotaram esses ataques únicos e de alto impacto, outras, como a China, adotaram uma abordagem mais silenciosa. Eles penetraram profundamente em sistemas essenciais, preparando o terreno para possíveis interrupções em grande escala no futuro. Os agentes afiliados à China agora se concentram em se infiltrar na infraestrutura essencial e manter uma presença persistente e não detectada. Explorando a vulnerabilidade em dispositivos de borda, como roteadores, dispositivos VPN e sistemas de IoT, grupos como APT41 e Bronze Butler obtiveram acesso não autorizado a componentes de rede menos seguros, o que lhes permitiu coletar inteligência e estabelecer uma possível capacidade

específicos. Na Romênia, a interferência russa alavancou contas falsas de mídia social e manipulou o conteúdo para promover o candidato de extrema direita Călin Georgescu. Depois que Georgescu venceu inesperadamente o primeiro turno, a inteligência desclassificada revelou a extensão da interferência estrangeira, o que levou a uma anulação sem precedentes dos resultados da eleição e à marcação de uma nova votação. Na Moldávia, uma campanha chamada “Operation MiddleFloor”, atribuída a um grupo alinhado à Rússia, mirou em setores governamental e educacional usando e-mails e documentos falsificados para disseminar narrativas anti-UE e minar a confiança na liderança pró-europeia.

Os Jogos Olímpicos de Paris se tornaram outro foco importante de desinformação. O Storm-1679, ligado à Rússia, espalhou narrativas falsas sobre corrupção, arbitragem tendenciosa e ameaças de violência. Contas automatizadas e bots amplificaram essas alegações para desacreditar o evento e desestabilizar a unidade ocidental. De forma mais agressiva, o grupo iraniano Emennet Pasargad explorou a vulnerabilidade do provedor do sistema de exibição das Olimpíadas para interromper as transmissões e disseminar propaganda anti-Israel, além de enviar ameaças aos atletas israelenses por meio de uma pessoa falsa que imitava o grupo francês GUD.

Esses ataques às democracias e alianças políticas ocidentais, como a OTAN, tornaram-se cada vez mais eficazes e perigosos, à medida que os países democráticos enfrentam desafios cada vez maiores. Guerras culturais on-line, populismo alimentado pelas mídias sociais e plataformas de mídia politizadas usando algoritmos avançados para personalizar conteúdo favorável criaram um terreno fértil para agentes estrangeiros minarem a confiança do público. A disseminação de conteúdo que se alinha ou apoia a propaganda de estados específicos já criou raízes, aprofundandoas divisões sociais.

As democracias responderam reforçando as regulamentações e reconhecendo a desinformação como uma ameaça à infraestrutura crítica. O Departamento de Segurança Interna dos EUA destacou a interferência eleitoral como uma ameaça, enquanto o Canadá expandiu a Lei CSIS para um melhor compartilhamento de inteligência. A União Europeia impôs regras rígidas em plataformas como a Meta para conter a desinformação russa. A OpenAI e a Microsoft estão cercando contas associadas a grupos da China, Irã, Rússia e Coreia do Norte

MALWARE DESTRUTIVO E PERTURBADOR Os estados-nação cada vez mais confiavam no malware destrutivo como uma arma importante na guerra cibernética. Essas operações do “loud”, caracterizadas por um malware wiper e outras ferramentas perturbadoras, visavam a infraestrutura crítica, interrompendo serviços essenciais e espalhando o caos.

Em meio ao aumento das tensões no Oriente Médio, o Irã e outros grupos de ameaças regionais demonstraram o potencial destrutivo do malware wiper. A Void Manticore, um grupo iraniano ligado ao Ministério da Inteligência e Segurança (MOIS), implantou o No-Justice Wiper sob o disfarce de personagens hacktivistas como Karma e Homeland Justice. Essas campanhas visavam a infraestrutura israelense crítica e organizações privadas, apagando dados e interrompendo serviços.

ESTÁGIO DISFARÇADO ESTÁGIO PÚBLICO

ENTIDADES “HACTIVISTAS”

EXFILTRAÇÃO DE DADOS

VAZAMENTO DE DADOS

ATIVIDADE DESTRUTIVA

ACESSO INICIAL

Figura 1 – Táticas típicas de campanha de guerra do Irã.

Cyber Wars - Edição 2024

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202512

https://research.checkpoint.com/2024/hamas-affiliated-threat-actor-expands-to-disruptive-activity/ https://www.sentinelone.com/labs/acidpour-new-embedded-wiper-variant-of-acidrain-appears-in-ukraine/ https://cloud.google.com/blog/topics/threat-intelligence/apt44-unearthing-sandworm https://cloud.google.com/blog/topics/threat-intelligence/apt44-unearthing-sandworm https://www.wsj.com/politics/national-security/china-cyberattack-internet-providers-260bd835 https://www.wsj.com/politics/national-security/china-cyberattack-internet-providers-260bd835 https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a https://www.bbc.com/news/articles/cn4x2epppego https://research.checkpoint.com/2024/disinformation-campaign-moldova/ https://blogs.microsoft.com/on-the-issues/2024/06/02/russia-cyber-bots-disinformation-2024-paris-olympics/ https://www.ic3.gov/CSA/2024/241030.pdf https://openai.com/index/disrupting-malicious-uses-of-ai-by-state-affiliated-threat-actors/ https://research.checkpoint.com/2024/bad-karma-no-justice-void-manticore-destructive-activities-in-israel/

Em 2024, a atividade hacktivista ressaltou a dinâmica em evolução das alianças e da influência no espaço cibernético, refletindo as tensões geopolíticas entre o Oriente e o Ocidente. Grupos como Holy League simbolizaram metas estratégicas compartilhadas entre agentes afiliados à Rússia e ao Irã. Essas alianças muitas vezes refletiam desdobramentos políticos do mundo real: por exemplo, depois que a Coreia do Sul enviou observadores à Ucrânia durante o envolvimento da Coreia do Norte com as forças russas, os grupos ligados à Rússia NoName057(16) e Z Pentest lançaram ataques retaliatórios de DDoS e ataques industriais contra entidades sul- coreanas. Ao enfatizar suas frentes unidas por meio de declarações recorrentes de colaboração, esses grupos procuraram manter a atenção, reforçar seu impacto psicológico e ampliar a influência global no cenário cada vez mais complexo do conflito cibernético moderno.

Na frente individual, grupos hacktivistas apoiados pelo Irã também intensificaram suas atividades, concentrando-se principalmente em alvos israelenses e albaneses. Grupos como Malek Team e Handala Hack realizaram campanhas de desfiguração, operações de hacking e vazamento, além de interrupções e reivindicaram a responsabilidade por violar a rede israelense e exfiltrar terabytes de dados confidenciais. O Karma, associado ao Ministério de Inteligência e Segurança (MOIS) do Irã, implantou ferramentas destrutivas como os wipers BiBi e No Justice contra organizações israelenses. O Cyber Avengers, ligado ao Corpo da Guarda Revolucionária Islâmica (IRGC), teve como alvo infraestruturas críticas, incluindo redes de energia e sistemas de água em Israel, nos EUA e na Irlanda. O grupo iraniano Homeland Justice também atacou instituições governamentais albanesas em retaliação por hospedar o grupo de oposição Mujahedin-e-Khalq (MEK). Essas atividades destacam o uso hábil que o Irã faz de grupos de representantes para mesclar o hacktivismo com a guerra cibernética dirigida pelo Estado, promovendo seus interesses geopolíticos e mantendo uma negação plausível.

Da mesma forma, os atores russos também exemplificaram essa tática, com grupos como KillNet, NoName057(16) e o Cyber Army of Russia visando a infraestrutura essencial em países alinhados contra a Rússia. Esses grupos realizaram principalmente ataques de Negação distribuída de serviço (DDoS) e outras manipulações, interrompendo as operações do governo e do setor privado na Ucrânia e em países pró-ucranianos.

Além de seus esforços individuais, os hacktivistas alinhados à Rússia expandiram sua influência formando alianças com agentes estrangeiros. Um exemplo notável é o coletivo hacktivista High Society, que incorpora mais de 20 gangues cibernéticas afiliadas à Rússia, incluindo grupos ligados à Rússia, como People's Cyber Army, NoName057 (16) e UserSec. A High Society se juntou ao 7 October Union, um coletivo hacktivista pró-palestino de mais de 40 grupos, muitos dos quais estão ligados ao Irã. Essa aliança, chamada Holy League, teve como alvo a OTAN, a Europa, a Ucrânia e Israel, com campanhas notáveis, como os esforços coordenados de DDoS e propaganda visando a cúpula do 75º aniversário da OTAN em Washington. A campanha buscou minar o apoio público ao apoio da OTAN à Ucrânia, combinando ataques cibernéticos com manipulação psicológica para influenciar a opinião pública

de “botão vermelho” — acesso que poderia ser usado para futuras interrupções em grande escala. Esse posicionamento estratégico, particularmente evidente nos alvos dos EUA, permite que os agentes chineses se preparem silenciosamente para possíveis conflitos, evitando a visibilidade imediata e a retaliação que vêm com as operações destrutivas.

O grupo APT chinês Volt Typhoon exemplificou essa abordagem ao intensificar seu foco na exploração de firewalls e roteadores na infraestrutura essencial dos EUA. Usando técnicas de living- off-the-land (LOTL), o Volt Typhoon se baseou em ferramentas administrativas legítimas em ambientes comprometidos para evitar a detecção. Isso permitiu que o grupo contornasse as medidas convencionais de cibersegurança e mantivesse uma presença secreta, posicionando-se para ações futuras.

Adicionando outra camada a essa estratégia secreta, o Salt Typhoon teve como alvo os principais provedores de serviços de Internet (ISPs), incluindo a AT&T e a Verizon, explorando a vulnerabilidade para interceptar e manipular o tráfego da rede. Além disso, os agentes ligados à China usaram Operational Relay Boxes (ORBs), que são redes de VPS e dispositivos de IoT comprometidos, para manter a persistência, retransmitir comandos e coletar inteligência. Geralmente gerenciadas por prestadores na China, as ORBs permitiram que esses invasores permanecessem incorporados em sistemas comprometidos, retransmitindo discretamente comandos e coletando inteligência.

GRUPOS “HACKTIVISTAS” No ano passado, os limites imprecisos da guerra cibernética apoiada pelo Estado tornaram-se cada vez mais evidentes à medida que os Estados-nação dependiam de uma ampla rede de personas on-line para atender às suas agendas geopolíticas. Muitas dessas figuras, que se apresentavam como hacktivistas independentes com motivação ideológica, eram fachadas para grupos APT patrocinados pelo Estado. Ao amplificar narrativas divisivas e visar a confiança do público, os grupos hacktivistas se tornaram componentes essenciais de operações de influência mais extensas, permitindo que seus patrocinadores ocultassem seu envolvimento direto e, ao mesmo tempo, aproveitassem a retórica patriótica para ampliar seu impacto. Em meio a um cenário de declínio do interesse do público e crescente fadiga, uma tendência notável surgiu em 2024: a formação de alianças, em que grupos díspares se uniram sob bandeiras compartilhadas para criar uma frente mais forte e coesa.

Figura 2 – Postagem no Telegram sobre a criação da “Holy League”.

Cyber Wars - Edição 2024

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202513

http://www.infosecurity-magazine.com/news/russian-hacktivits-south-korea/ https://socradar.io/dark-web-profile-muddywater-apt-group/ https://socradar.io/dark-web-profile-muddywater-apt-group/ https://socradar.io/dark-web-profile-cyber-av3ngers/ https://socradar.io/dark-web-profile-cyber-av3ngers/ https://therecord.media/iran-linked-hackers-claim-attack-on-albania-census-org https://therecord.media/iran-linked-hackers-claim-attack-on-albania-census-org https://therecord.media/noname-hacking-group-targets-ukraine-and-allies https://www.csoonline.com/article/3568804/russian-groups-hack-of-texas-water-system-underscores-critical-ot-cyber-threats.html https://www.csoonline.com/article/3568804/russian-groups-hack-of-texas-water-system-underscores-critical-ot-cyber-threats.html https://cybernews.com/cybercrime/holy-league-hacker-alliance-attack-nato/ https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/ https://www.cisa.gov/news-events/news/joint-statement-fbi-and-cisa-prc-activity-targeting-telecommunications https://www.cisa.gov/news-events/news/joint-statement-fbi-and-cisa-prc-activity-targeting-telecommunications https://cloud.google.com/blog/topics/threat-intelligence/china-nexus-espionage-orb-networks/

A GUERRA FINANCEIRA CIBERNÉTICA DA COREIA DO NORTE Enquanto outras nações usam hacktivistas para interromper e desestabilizar, os esforços cibernéticos da Coreia do Norte transcendem a pretensão de ativismo. Em vez disso, Pyongyang projetou um vasto e interconectado aparato de operações cibernéticas que mesclam crime financeiro com espionagem para ajudar a sustentar seu regime em apuros sob o peso das sanções internacionais.

A “guerra financeira” da Coreia do Norte é um ato de equilíbrio delicado: o ransomware e o roubo de criptomoedas financiam as ambições nucleares, os programas de mísseis e o desenvolvimento de outras armas do regime, enquanto as campanhas de espionagem reúnem inteligência para aprimorar as capacidades militares e tecnológicas.

O Lazarus Group, o principal exemplo da máquina de crimes cibernéticos da Coreia do Norte, liderou operações em 2024 com sofisticação característica. Uma operação disfarçada como um jogo de criptomoeda com tema de tanque explorou uma vulnerabilidade de dia zero no Google Chrome para implantar o backdoor Manuscrypt. O objetivo não era apenas roubar criptomoedas, mas também adicionar um elemento de espionagem. Uma carteira roubada hoje pode financiar um projeto militar roubado amanhã.

Subgrupos como o BlueNoroff refinaram ainda mais essa abordagem. Sua campanha “Hidden Risk” atraiu comerciantes de criptomoedas com e-mails de phishing convincentes e sites de notícias falsas projetados para manipular transações e desviar fundos para os cofres do regime. Ela também demonstrou como as estratégias de implantação de desinformação podem ser aproveitadas para o crime cibernético.

O Andariel, outro dos APTs do regime, obscureceu a linha entre roubo financeiro e destruição. Ele visou organizações de saúde dos EUA criptografando sistemas críticos para extorquir o pagamento de criptomoedas usando ransomware Play orientado para o crime cibernético. Essas operações não se tratavam apenas de ganho financeiro imediato, mas também serviam como um campo de testes para táticas que poderiam interromper setores vitais em uma crise geopolítica.

Até mesmo o cenário de empregos se tornou um campo de batalha. Em 2024, as empresas ocidentais receberam, sem querer, agentes norte-coreanos que se passavam por freelancers remotos de TI. Ao se infiltrarem em ambientes corporativos com identidades falsas, esses agentes alcançaram um duplo objetivo: gerar dinheiro vivo para o regime e obter acesso potencial a dados organizacionais confidenciais.

DE ATAQUES CATASTRÓFICOS PREVISTOS A BATALHAS CONTÍNUAS Em uma visão mais ampla deste ano, a guerra cibernética se fragmentou em batalhas menores e contínuas em vários domínios, em vez de ataques catastróficos destinados a paralisar nações com um único golpe. Esses conflitos raramente têm vencedores ou perdedores claros, mas na maioria das vezes conseguem corroer a confiança, enfraquecer as instituições e obscurecer os limites entre as esferas estatal e civil.

ELI SMADJA

Gerente do grupo Security Research

A guerra cibernética atual evoluiu da destruição imediata para campanhas abrangentes que estabelecem as bases para a erosão dos sistemas — sejam eles sociais ou físicos. Agora, os estados-nação usam “armas” cibernéticas, como deepfakes gerados por IA e manipulação de mídias sociais, que enfraquecem os processos democráticos ao longo do tempo, enquanto suas operações secretas garantem o acesso à infraestrutura essencial, preparando o terreno para futuros ataques.

As operações de influência surgiram como uma frente importante, com campanhas de desinformação baseadas em IA visando eleições, coesão social e estabilidade geopolítica. Simultaneamente, o malware destrutivo, as frentes hacktivistas e o crime cibernético financeiro serviram como ferramentas de coerção, desestabilização e autossustentação no caso de regimes altamente sancionados, como a Coreia do Norte.

Enquanto as democracias tentam se adaptar reforçando as regulamentações e investindo em defesas cibernéticas, o campo de batalha já mudou sob seus pés. A guerra cibernética não está mais confinada à infraestrutura digital, mas permeou o tecido social. As batalhas por informações e percepção ameaçam durar mais do que os sistemas físicos que antes se esperava que atacassem.

Cyber Wars - Edição 2024

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202514

https://securelist.com/lazarus-apt-steals-crypto-with-a-tank-game/114282/ https://www.sentinelone.com/labs/bluenoroff-hidden-risk-threat-actor-targets-macs-with-fake-crypto-news-and-novel-persistence/ https://unit42.paloaltonetworks.com/north-korean-threat-group-play-ransomware/ https://cloud.google.com/blog/topics/threat-intelligence/mitigating-dprk-it-worker-threat

O ECOSSISTEMA DE RANSOMWARE EM 2024: IMPACTO DA APLICAÇÃO DA LEI, DIRECIONAMENTO PARA O SETOR DE SAÚDE E AUMENTO DA EXTORSÃO POR VAZAMENTO DE DADOS O ransomware continuou sendo a ameaça cibernética mais significativa para as empresas em todo o mundo em 2024, atingindo novos patamares em escala e impacto. O pouco conhecido grupo de ransomware Dark Angels afirma que garantiu um pagamento impressionante de US$ 75 milhões de uma empresa não identificada da Fortune 50, enquanto o ALPHV extraiu US$ 22 milhões da Change Healthcare. No caso da Change Healthcare, o ataque de ransomware resultou em meses de interrupção do serviço e mais de 100 milhões de registros médicos de pacientes foram roubados. A UnitedHealth, empresa controladora da Change Healthcare, relatou um impacto chocante de US$ 872 milhões no primeiro trimestre de 2024. Isso incluiu US$ 593 milhões em custos de resposta direta e US$ 279 milhões em interrupção de negócios. Além disso, a empresa alocou US$ 800 milhões para futuras reservas de reclamações.

Apesar desse aumento, o pagamento médio do resgate em 2024 permaneceu em aproximadamente US$ 200.000, com a maioria dos ataques ocorrendo silenciosamente, com pouca atenção do público.

Além dos casos sofisticados, o cenário de ameaças mudou fundamentalmente este ano. A pressão constante das autoridades policiais e as disputas entre criminosos provocaram a queda do LockBit, um participante dominante no cenário de ransomware por muitos anos, e de seu principal rival, o ALPHV. Suas saídas abriram o caminho para o surgimento do novo grupo de ameaças RansomHub. Além disso, o setor de saúde, que antes era considerado menos direcionado devido ao seu papel, tornou- se o foco principal dos cibercriminosos. Por fim, os agentes de ameaças mudam cada vez mais das táticas tradicionais baseadas em criptografia para a extorsão pura de dados, sinalizando uma abordagem mais simplificada e perigosa.

OPERAÇÕES DE APLICAÇÃO DA LEI E SEU EFEITO NO ECOSSISTEMA DE RANSOMWARE Embora as medidas de cibersegurança ofereçam proteção, elas são insuficientes para combater o que se tornou a principal ameaça cibernética das empresas — o ransomware. Os esforços para combater os ataques são prejudicados pela falta de cooperação internacional, já que a Rússia, a Coreia do Norte e o Irã toleram ou apoiam ativamente tais atividades.

Enfrentar essa ameaça exige esforços contínuos e coordenados de aplicação da lei internacional, como compartilhar inteligência, coordenar estruturas legais e perseguir conjuntamente os autores e

Figura 3 - Postagem na Dark-Web, especificando as condições de recrutamento para o grupo Cicada3301!, proibindo atividades contra entidades afiliadas à Rússia (Comunidade de Estados Independentes - CIS).

O ecossistema de ransomware

15

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202515

https://krebsonsecurity.com/2024/08/low-drama-dark-angels-reap-record-ransoms https://krebsonsecurity.com/2024/08/low-drama-dark-angels-reap-record-ransoms https://www.bleepingcomputer.com/news/security/dark-angels-ransomware-receives-record-breaking-75-million-ransom https://techcrunch.com/2024/10/24/how-the-ransomware-attack-at-change-healthcare-went-down-a-timeline https://www.bleepingcomputer.com/news/security/unitedhealth-change-healthcare-cyberattack-caused-872-million-loss https://www.bleepingcomputer.com/news/security/unitedhealth-change-healthcare-cyberattack-caused-872-million-loss

derrubar sua infraestrutura. De forma encorajadora, em 2024 vimos vários exemplos eficazes de tais operações.

Nos anos anteriores, as operações de remoção visaram com sucesso os principais grupos do ransomware, como Hive, Ragnar e outros. Em fevereiro de 2024, a Operation Cronos, uma operação legal internacional coordenada liderada pela National Crime Agency (NCA) do Reino Unido e pelo FBI, desferiu um golpe significativo no LockBit, o grupo dominante no ecossistema de ransomware como serviço (RaaS). A operação confiscou os sites de vazamento de dados (DLS) do LockBit e desmantelou a infraestrutura crítica, interrompendo significativamente suas operações. As autoridades assumiram o controle de 34 servidores em vários países, incluindo Países Baixos, Alemanha e Estados Unidos. A campanha continuou até outubro e prendeu os principais participantes na Polônia e na Ucrânia, enquanto as autoridades judiciais da França e dos EUA emitiram acusações. As agências de aplicação da lei obtiveram e divulgaram as chaves de decodificação e os dados internos do LockBit, expondo as operações do grupo e a rede de afiliados a um exame mais minucioso.

A operação visava não apenas desmantelar a infraestrutura técnica do LockBit, mas também manchar sua imagem nos círculos do crime cibernético. A reputação do LockBit era crucial para suas operações, conforme evidenciado por seu envolvimento ativo em fóruns criminosos e entrevistas à mídia. O líder do grupo, conhecido como LockBitSupp, interagia com frequência nessas plataformas, promovendo seus serviços de ransomware e mantendo uma personalidade pública. Essa visibilidade foi essencial para recrutar afiliados e garantir às vítimas seu “profissionalismo” no tratamento de dados e pagamentos de resgate.

Após a Operação Cronos, a atividade do LockBit diminuiu significativamente. Depois que suas comunicações internas e identidades de afiliados foram expostas, sua confiança foi perdida. O LockBit tentou projetar uma imagem “business as usual” publicando listas falsas de pessoas recicladas ou vítimas de outros atacantes, um fenômeno que aumentou com a mudança para a extorsão baseada em dados. Apesar das tentativas do LockBit de

restabelecer as operações, a pressão contínua da polícia e a perda de credibilidade na comunidade cibercriminosa impedem seu ressurgimento. No entanto, na última semana de 2024, o grupo anunciou uma nova versão, o LockBit 4.0. Só o tempo dirá se isso marca o ressurgimento da organização criminosa.

O ALPHV foi outro grande agente de RaaS a sair de cena. No final de 2023, eles sofreram uma operação policial, mas se recuperaram brevemente e retomaram agressivamente as operações contra entidades de saúde.

Em fevereiro de 2024, uma afiliada da ALPHV atacou a Change Healthcare. O grupo reteve todos os $22 milhões da afiliada, negando a participação da afiliada. O grupo então falsificou um aviso de apreensão em seu DLS e anunciou sua aposentadoria.

Embora a remoção desses dois grupos dominantes tenha afetado o cenário do ransomware a curto e longo prazo, pouco fez para reduzir o volume de ataques do ecossistema. Na verdade, o número de vítimas publicadas aumentou de forma constante. Essa resiliência destaca a natureza das operações de RaaS: afiliados independentes permanecem praticamente inalterados pela queda de uma única marca ou operadora e simplesmente migram para outras plataformas. Livres de compromissos anteriores, esses afiliados encontram grupos alternativos de RaaS que oferecem a infraestrutura necessária, sites de vazamento e serviços de suporte, garantindo que seu pipeline de ataques de ransomware permaneça intacto.

200

100

Dec 23

420

293 304

380

477

347 407 387

544 603

534541

386

Dec 24

Nov 24

Oct 24

Sep 24

Aug 24

Jul 24

June 24

May 24

Apr 24

Mar 24

Feb 24

Jan 24

0

300

400

500

600

700

Figura 5 - Número total de vítimas relatadas em sites de vazamento de dados de ransomware.

Figura 4 - Capturas de tela do site falso do LockBit minando sua reputação (fonte: NCA).

O ecossistema de ransomware

16

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202516

https://www.justice.gov/opa/pr/us-department-justice-disrupts-hive-ransomware-variant https://www.europol.europa.eu/media-press/newsroom/news/ragnar-locker-ransomware-gang-taken-down-international-police-swoop https://www.europol.europa.eu/media-press/newsroom/news/law-enforcement-disrupt-worlds-biggest-ransomware-operation https://blog.checkpoint.com/research/ransomwares-evolving-threat-the-rise-of-ransomhub-decline-of-lockbit-and-the-new-era-of-data-extortion/ https://blog.checkpoint.com/research/ransomwares-evolving-threat-the-rise-of-ransomhub-decline-of-lockbit-and-the-new-era-of-data-extortion/ https://krebsonsecurity.com/2024/03/blackcat-ransomware-group-implodes-after-apparent-22m-ransom-payment-by-change-healthcare https://www.darkreading.com/threat-intelligence/lessons-from-the-lockbit-takedown https://www.nationalcrimeagency.gov.uk/images/Feb2024/Leak_site.jpeg

SETOR DE SAÚDE SOB FOGO A migração de grupos de ransomware para atingir organizações de saúde ressalta o declínio gradual das diretrizes “éticas” estabelecidas anteriormente. Nos primeiros meses da pandemia da COVID-19, muitos operadores de RaaS declararam publicamente que hospitais e provedores médicos estavam fora dos limites. No entanto, com o tempo, essas restrições foram se enfraquecendo. Alguns administradores de RaaS adotaram uma abordagem mais sutil. Embora desencorajassem a interrupção total do serviço, como a criptografia de sistemas essenciais, eles permitiam o roubo de dados médicos confidenciais. Os afiliados podiam então extorquir as vítimas ameaçando vazar informações dos pacientes e pressionar as entidades de saúde a pagar sem colocar os pacientes diretamente em risco.

Essa abordagem se deteriorou ainda mais após a operação policial contra o ALPHV. O grupo incentivou abertamente os afiliados a se dirigirem especificamente aos hospitais. Em fevereiro de 2024, os setores médico e de saúde se tornaram os setores mais direcionados para o ALPHV, representando aproximadamente 30% das vítimas relatadas.

Logo após, nenhuma entidade isolada poderia replicar o domínio de mercado anteriormente detido pela LockBit e pela ALPHV. Embora o RansomHub parecesse pronto para assumir um papel de liderança, sua posição estava longe de ser garantida. Em vez disso, o cenário entrou em um período de fragmentação competitiva, com agentes de médio porte, como Akira, Play, Medusa, Dan0n, Hunters e Bianlian, lutando para recrutar afiliados e criar impulso

As consequências da retenção, pela ALPHV, da parte do resgate de um afiliado, combinadas com a reputação prejudicada do LockBit e a disponibilidade de códigos de ransomware vazados, alimentaram o surgimento de operadores mais autônomos. Um número crescente de grupos menores e independentes surgiu, sem vontade de confiar em estruturas de RaaS estabelecidas ou compartilhar lucros com operadores centralizados. Ao aproveitar o código vazado, esses agentes personalizaram suas próprias cepas e infraestruturas de ransomware, reduzindo a dependência dos principais provedores de RaaS e promovendo um ecossistema mais descentralizado e competitivo.

Com o encerramento de 2024, o RansomHub emergiu como o novo player dominante, representando 16% das vítimas relatadas em novembro. Mais de 40 outros grupos de ransomware de dupla extorsão permaneceram ativos durante o mesmo período, cada um mantendo seus próprios sites de vazamento de dados e visando novas vítimas.

0

40

80

60

20

120

100

160

140

200

180

Dez 23

Nov 23

Nov 24

Out 24

Set 24

Ago 24

Jul 24

Jun 24

Mai 24

Abr 24

Mar 24

Fev 24

Jan 24

Vítimas do LockBit Vítimas do RansomHub

Figura 6 - Sites de vazamento de dados relataram vítimas de LockBit versus RansomHub. em 2024

Akira

6% KillSec3

6% QiLin

5% SafePay

5%

Inc Ransom 4% Hunters4%

Lynx 4%

Medusa 4%

Play 4%

RansomHub

16% Outros

42%

Figura 7 - Vítimas de sites de vazamento de dados por agente, novembro de 2024.

O ecossistema de ransomware

17

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202517

A natureza crítica das operações de saúde significa que o tempo de inatividade prolongado do sistema é inaceitável devido ao risco que representa para os pacientes. Conforme demonstrado pelo ataque Change Healthcare, isso aumenta significativamente a probabilidade de pagamentos de resgate.

As organizações médicas e de saúde agora representam 10% de todas as vítimas de ransomware relatadas publicamente, tornando o setor de saúde o segundo mais visado em 2024, atrás apenas do setor de manufatura.

Embora o ataque de alto nível ao Change Healthcare tenha atraído a atenção global, muitos outros incidentes significativos destacam essa tendência preocupante. Em fevereiro de 2024, um ataque do ransomware Phobos mirou no sistema de saúde da Romênia, afetando diretamente 25 hospitais e causando interrupções de operação em mais de 100 instalações adicionais devido ao seu efeito no Sistema de Informações Hipocrate (HIS). Como resultado da desconexão da Internet, os hospitais tiveram serviços médicos mais

lentos, atraso no atendimento ao paciente e redução significativa da capacidade operacional.

Em junho, a Synnovis, uma importante prestadora de serviços de patologia para os principais hospitais de Londres, foi atacada pelo grupo de ransomware Qilin (Agenda). O ataque envolveu um pedido de resgate de US$ 50 milhões e o vazamento de aproximadamente 400 GB de dados confidenciais. A violação levou ao cancelamento de mais de 6.000 consultas e procedimentos médicos. A interrupção também causou uma escassez de doações de sangue no Serviço Nacional de Saúde (NHS) do Reino Unido.

Muitas vítimas do setor de saúde agora são alvo de ataques do ransomware: 19% para o Bianlian, 23% para o ransomware INC e 10% para o RansomHub, apesar de sua política de evitar organizações sem fins lucrativos e hospitais (veja a imagem abaixo). Isso ressalta o foco crescente nos atores de ameaças nesse setor.

Notavelmente, mais de 65% das vítimas relacionadas ao setor de saúde estão localizadas nos EUA, o que é desproporcionalmente alto em comparação com sua participação no ecossistema mais amplo de ransomware. A importância das operações de saúde e sua capacidade limitada de resistir a interrupções prolongadas as tornam alvos particularmente atraentes. Todas as indicações sugerem que essa tendência preocupante persistirá em 2025.

Figura 8 - O ALPHV permite que afiliados “bloqueiem hospitais, usinas nucleares, qualquer coisa, em qualquer lugar.” (fonte).

A MUDANÇA PARA A EXTORSÃO DA EXFILTRAÇÃO DE DADOS (DXF) A fase de criptografia de um ataque de ransomware apresenta desafios significativos para os invasores. É inerentemente “ruidoso”, o que aumenta o risco de detecção e interceptação. O gerenciamento de várias vítimas aumenta a complexidade, pois exige a distribuição de chaves de decodificação exclusivas e o fornecimento de “suporte ao cliente” para recuperação de dados. Ambas as tarefas consomem muitos recursos e são operacionalmente exigentes. Os grupos de ransomware dependem muito de sua reputação de restaurar de forma confiável os dados criptografados para manter a confiança das vítimas e garantir os pagamentos. Se a decodificação falhar, isso enfraquece essa confiança e reduz a probabilidade de pagamentos futuros de resgate. Além disso, a dependência da criptografia aumenta a dependência dos afiliados das plataformas de RaaS. Essa dependência pode reduzir seus lucros e, ao mesmo tempo, aumentar sua exposição às agências policiais.

A disposição das vítimas de pagar resgates por ataques baseados em criptografia tem diminuído constantemente devido a repetidos casos em que os pagamentos não levaram à recuperação de dados, além de as organizações estarem se tornando mais proficientes em manter backups atualizados. Os dados da Coveware, uma empresa de resposta a ransomware sediada nos EUA, destacam a tendência: a porcentagem de casos baseados em criptografia resolvidos por meio de pagamentos de resgate diminuiu de 75% em 2019 para 32% no terceiro trimestre de 2024. Em contraste, a extorsão somente por exfiltração de dados manteve uma taxa de resolução de pagamento estável de cerca de 35%. Essa mudança, combinada com o aumento dos custos operacionais de gerenciamento dos esforços de descriptografia, levou muitos agentes de ransomware a abandonar a criptografia em favor de operações somente de DXF.

10% DAS VÍTIMAS DE RANSOMWARE SÃO DO SETOR DE SAÚDE

65% DAS VÍTIMAS RELACIONADAS AO SETOR DE SAÚDE ESTÃO LOCALIZADAS NOS EUA

Figura 9 - Política oficial do RansomHub a partir de seu DLS.

O ecossistema de ransomware

18

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202518

https://securityaffairs.com/159093/cyber-crime/romanian-hospitals-ransomware-attack.html https://securityaffairs.com/159093/cyber-crime/romanian-hospitals-ransomware-attack.html https://therecord.media/london-hospitals-ransomware-urgent-call-blood-donations-otype https://www.tripwire.com/state-of-security/healthcare-sector-warned-alphv-blackcat-ransomware-after-surge-targeted-attacks https://www.coveware.com/blog/2024/4/17/raas-devs-hurt-their-credibility-by-cheating-affiliates-in-q1-2024

OMER DEMBINSKY

Gerente do Grupo Data Research

A cada ano, o ambiente de ransomware se torna cada vez mais complicado. Embora as autoridades policiais tenham desmantelado com sucesso grupos maiores de ransomware como serviço (RaaS), novos grupos surgiram este ano. Além disso, a mudança da extorsão baseada em criptografia para a extorsão de dados traz novos desafios. No entanto, uma coisa permanece consistente: a necessidade de adaptar e aprimorar a proteção de dados, o monitoramento e a detecção rápida de ameaças.

Os primeiros a adotar a tendência exclusiva de exfiltração de dados, como Karakurt e Lapsus$, abriram o caminho para outros seguirem. Em 2024, grupos estabelecidos como o BianLian, um grupo de ransomware de língua russa, fez a transição completa para a extorsão somente de DXF e abandonou completamente a criptografia. Da mesma forma, o Meow, um grupo de ransomware mais antigo, anteriormente envolvido em extorsão dupla, ressurgiu este ano, concentrando-se apenas na venda de dados, oferecendo dados roubados a preços diferentes e permitindo que as vítimas “comprem de volta” suas informações para evitar a exposição pública.

Novos agentes também surgiram exclusivamente como “plataformas de venda de dados”. Por exemplo, o Bashe (também conhecido como Eraleign), que apareceu pela primeira vez em abril de 2024, opera puramente como uma plataforma de extorsão baseada apenas na exfiltração de dados. Ele oferece um site de vazamento de dados (DLS) dedicado e uma plataforma de negociação sem fornecer serviços de criptografia ou ferramentas adicionais.

Essa abordagem também criou oportunidades para falsas alegações de vítimas. Sem a interrupção visível causada pela criptografia, os agentes de ameaças podem reciclar mais facilmente os dados vazados anteriormente e reivindicar falsamente o crédito por novos ataques. Essa tática complica o rastreamento de campanhas de ransomware e a identificação de autores genuínos, pois vários grupos reivindicam a responsabilidade pela mesma vítima.

O aumento da extorsão somente por exfiltração de dados marca uma mudança crítica nas prioridades da cibersegurança. As organizações devem agora se concentrar no fortalecimento das estratégias de prevenção contra vazamento de dados (DLP), aproveitando os sistemas avançados de monitoramento e detecção para identificar e mitigar possíveis violações mais cedo. Como os incentivos financeiros e operacionais para ataques somente de exfiltração de dados continuam a crescer, essa tendência provavelmente persistirá este ano, à medida que mais grupos ransomware adotarem essas táticas para simplificar as operações e evitar a detecção.

Figura 10 - Política de operação da Bashe, de seus sites de vazamento de dados

NAVEGANDO NO CENÁRIO DO RANSOMWARE EM EVOLUÇÃO O cenário do ransomware em 2024 reflete um ambiente de ameaças dinâmico e cada vez mais complexo. Os sucessos da aplicação da lei contra grandes grupos abriram as portas para novos agentes, com o RansomHub emergindo como o mais proeminente. Ao mesmo tempo, a erosão dos limites éticos em relação aos ataques às organizações de saúde destaca uma crescente crueldade entre os agentes de ameaças. Além disso, a mudança estratégica da extorsão baseada em criptografia para o DXF introduz novos desafios, exigindo que as organizações adaptem suas estratégias defensivas para se concentrarem na proteção de dados, no monitoramento e na detecção rápida de ameaças.

O ecossistema de ransomware

19

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202519

Ao examinarmos o cenário cibernético em 2024, os infostealers estão no centro das atenções. Isso não se deve apenas à evolução de seus métodos e táticas, mas também porque um ecossistema criminal mais amplo amadureceu e se especializou, tornando essas ameaças mais eficazes. Os infostealers ganharam um poder significativo devido à sua capacidade de gerenciar com eficiência, processar rapidamente e vender grandes quantidades de logs. Eles servem como o primeiro passo para violações de rede corporativa em grande escala. Um aspecto crucial da distribuição do infostealer é que ele se baseia principalmente em uma abordagem “spray-and- pray” em vez de visar diretamente a rede corporativa. Apesar dessa estratégia, um de seus principais objetivos é extrair credenciais para acessar recursos corporativos no BYOD (Bring Your Own Device). A Cyberint, uma empresa da Check Point, informa que mais de 70% dos dispositivos infectados por infostealers são pessoais, e não corporativos ou gerenciados.

DEFINIÇÃO DE INFOSTEALERS Os Infostealers, geralmente chamados de “stealers”, são malwares projetados para extrair secretamente dados confidenciais de sistemas comprometidos, visando principalmente os dados do navegador. Eles também podem extrair arquivos das máquinas infectadas e fazer capturas de tela. Os Stealers são disseminados por meio de e-mails de phishing ou downloads maliciosos. Depois de se infiltrarem em um computador, eles podem coletar uma ampla gama de informações valiosas que podem ser usadas para outros crimes cibernéticos ou atividades fraudulentas. Isso inclui nomes de usuário e senhas, detalhes financeiros, configurações do sistema, cookies de navegador e carteiras de criptomoedas. Os infostealers são comercializados na Dark Web na forma de Malware como Serviço (MaaS), em que os compradores recebem suporte ao cliente, atualizações regulares e documentação detalhada, reduzindo a barreira de entrada para possíveis criminosos cibernéticos. DE LOGS DE INFOSTEALER A VIOLAÇÕES COMPLETAS:

A POTÊNCIA DOS INFOSTEALERS EM UM ECOSSISTEMA MADURO DE CRIMES CIBERNÉTICOS Com o declínio das grandes botnets e dos bancos malware, os infostealers surgiram como o novo Big Bad, agora distribuídos por meio de campanhas de grande escala. Uma rápida pesquisa no Russian Market, um dos maiores mercados criminosos clandestinos, revela que mais de 10 milhões de registros de infostealers estão atualmente disponíveis para compra. Esses logs contêm credenciais de usuário roubadas, tokens de autenticação e dados confidenciais. Os cibercriminosos podem usá-los como ferramentas poderosas para roubar fundos de indivíduos, roubo de identidade ou violar redes de computadores em todo o mundo.

Figura 11 - Um tópico em um fórum da darkweb promovendo a venda do Infostealer Lumma.

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202520

O MERCADO DE INFOSTEALER O mercado de infostealers é robusto e altamente competitivo, com preços que refletem a sofisticação do produto e o nível de suporte que os desenvolvedores oferecem. Por exemplo, o RedLine Stealer está disponível por aproximadamente US$ 150 por mês, o StealC custa cerca de US$ 200 e o preço do Lumma é de cerca de US$ 250. Os agentes de ameaças que operam esses serviços de malware, muitas vezes chamados de “afiliados”, compram licenças e usam os stealers em campanhas de infecção individuais dentro do modelo MaaS. Os dados, ou “logs”, coletados pelas afiliadas, consistem em lotes de informações roubadas de computadores individuais. Os logs são então vendidos ou negociados em plataformas como o Telegram ou em mercados criminosos clandestinos como o Russian Market, normalmente por cerca de US$10 cada. As informações roubadas alimentam atividades ilícitas, incluindo fraude financeira, roubo de identidade e outros ataques cibernéticos, perpetuando assim um ecossistema mais amplo de crimes cibernéticos.

Os tokens de sessão e cookies estão entre os tipos de dados

mais desejáveis coletados por infostealers. Esses artefatos são particularmente valiosos porque fornecem acesso imediato às contas de usuários sem a necessidade de credenciais de login. A aquisição de registros “frescos” ou roubados recentemente é fundamental, pois os cookies de sessão ativa são sensíveis ao tempo. Se coletados e vendidos prontamente, eles podem sequestrar sessões em andamento e contornar os mecanismos de autenticação multifatorial (MFA) dos quais muitos sistemas de segurança dependem. Muitos criminosos cibernéticos costumam analisar os dados obtidos de infostealers para descobrir credenciais de contas corporativas. Essas credenciais podem fornecer um ponto de apoio inicial em uma rede corporativa ou conceder acesso a recursos essenciais. Os alvos geralmente incluem credenciais e tokens para contas de VPN, contas do Microsoft 365, sistemas de mensagens corporativas e muito mais.

Para lidar com esse risco significativo à segurança, o Google introduziu a criptografia App-Bound em julho. Entretanto, em setembro, vários infostealers já haviam adotado técnicas para contornar essa proteção e descriptografar os dados confidenciais roubados.

A necessidade de exploração rápida destaca outra área importante em que os fornecedores de infostealers competem: a apresentação e a classificação eficientes dos dados roubados. Painéis de operação avançados e mecanismos de download são desenvolvidos para fornecer aos afiliados acesso rápido e claro aos registros. Alguns sistemas oferecem streaming automático de registros para os canais do Telegram, permitindo a exploração quase em tempo real de tokens de sessão ao vivo. Interfaces de usuário eficazes não apenas facilitam o acesso rápido, mas também analisam e destacam automaticamente as credenciais de alto valor, aumentando a eficiência e o apelo do malware para os afiliados.

A infraestrutura que suporta essas atividades maliciosas geralmente é abrangente e mantida pelos próprios fornecedores de MaaS. Essa infraestrutura pode incluir um mecanismo para autenticação em painel, servidores de comando e controle (C2) que fornecem plug-ins e atualizações adicionais e locais seguros para armazenar e baixar dados roubados. A dependência de uma infraestrutura extensa pode, às vezes, ser o calcanhar de Aquiles do malware, já que as agências de aplicação da lei podem visar e confiscar esses recursos para interromper as operações de MaaS.

A DISTRIBUIÇÃO DE INFOSTEALERS As campanhas de Infostealer são conduzidas por afiliados que compram licenças de desenvolvedores e operam campanhas de infecção de forma independente. Para disseminar o malware, eles usam métodos criativos, incluindo e-mails phishing, malvertising, distribuição de software falso ou crackeado, anúncios enganosos e sites falsos que imitam plataformas legítimas, como serviços

Figura 12 - Registros do Lumma Stealer roubados de um computador francês para venda no mercado russo.

Figura 13 - Visualização do painel do StealC.

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202521

https://www.bleepingcomputer.com/news/security/google-chrome-adds-app-bound-encryption-to-block-infostealer-malware/ https://www.bleepingcomputer.com/news/security/google-chrome-adds-app-bound-encryption-to-block-infostealer-malware/ https://www.bleepingcomputer.com/news/security/new-tool-bypasses-google-chromes-new-cookie-encryption-system/ https://securelist.com/tusk-infostealers-campaign/113367/

acesso a alvos cuidadosamente selecionados em outros fóruns, atraindo afiliados de ransomware interessados em explorar essas oportunidades. Em seguida, esses afiliados implantam o site ransomware, geralmente adquirido de provedores de ransomware como serviço (RaaS), para executar seus ataques.

Os fundos gerados por ataques bem-sucedidos de ransomware alimentam todo esse ecossistema. Os dados pessoais roubados oferecem outros caminhos lucrativos para os cibercriminosos. Informações de identificação pessoal (PII), detalhes financeiros e números de cartão de crédito podem ser usados para roubo de identidade, fraude e transações não autorizadas, resultando em Business Email Compromise, BEC (BEC). Todas essas atividades dependem de uma infraestrutura criminal madura e funcional que facilita a troca, a venda e a exploração de dados roubados.

de criptomoeda, ferramentas de IA e aplicativos de groupware. Os afiliados também podem explorar plataformas como o GitHub para hospedar repositórios mal-intencionados, como visto em campanhas que usam contas fraudulentas para disseminar infostealers populares. Outras táticas envolvem modelos de phishing direcionados a usuários que buscam software crackeado, páginas de CAPTCHA falsas criadas para induzir os usuários a baixar o malware e anúncios maliciosos do Google que redirecionam para sites de download falsificados. Ao contrário dos desenvolvedores, que se concentram na criação e atualização do malware, os afiliados determinam totalmente a distribuição, resultando em uma ampla gama de campanhas de infecção inovadoras.

MONETIZAÇÃO E O ECOSSISTEMA DO CRIME CIBERNÉTICO Para entender o impacto total dos infostealers, devemos examinar seu papel no ecossistema mais amplo do crime cibernético. Muitos operadores de infostealers dependem de clientes e canais de distribuição eficazes para monetizar os dados que roubam. Os mercados clandestinos e os canais do Telegram fornecem plataformas imediatas nas quais os vendedores podem oferecer seus dados roubados e os compradores podem pesquisar com eficiência registros específicos que atendam aos seus objetivos.

Os Corretores de Acesso Inicial (IABs) aproveitam essas informações para obter uma posição inicial na rede corporativa. O acesso obtido por meio de credenciais roubadas é altamente valioso e pode ser ainda mais monetizado. Em muitos casos, os IABs revendem o

Figura 14 - Anúncio oferecendo acesso à rede corporativa.

As credenciais e a sessão cookies roubadas dos computadores domésticos dos funcionários podem ser usadas para violar a rede corporativa. Um estudo revelou que 90% das empresas violadas tiveram credenciais corporativas vazadas em um registro do stealer antes da violação. Essa estatística ressalta o papel fundamental que os infostealers desempenham na viabilização de ciberataques mais significativos e enfatiza a importância de abordar essa ameaça dentro do contexto mais amplo da cibersegurança.

No início deste ano, a mega violação de dados da Snowflake expôs informações confidenciais de mais de 165 organizações, incluindo Advance Auto Parts, Ticketmaster e Santander Bank, afetando milhões de clientes. A violação provavelmente começou com credenciais extraídas por infostealers e vendidas on-line.

90% DE EMPRESAS VIOLADAS ANTERIORMENTE TIVERAM CREDENCIAIS CORPORATIVAS VAZADAS EM UM LOG DE STEALER

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202522

https://research.checkpoint.com/2024/stargazers-ghost-network/ https://research.checkpoint.com/2024/stargazers-ghost-network/ https://www.mcafee.com/blogs/other-blogs/mcafee-labs/behind-the-captcha-a-clever-gateway-of-malware/ https://www.malwarebytes.com/blog/news/2024/06/poseidon-mac-stealer-distributed-via-google-ads https://flare.io/learn/resources/breached-identities-and-infostealers-one-of-the-largest-ongoing-data-leak-in-history/ https://www.wired.com/story/infostealer-malware-password-theft/

ANÁLISE DE INFOSTEALERS EM USO Uma análise dos registros oferecidos para venda em plataformas como o mercado russo revela quais infostealers são mais prolíficos em termos de dados coletados. O Lumma Stealer, relatado pela primeira vez em 2022, é atualmente o infostealer mais proeminente, com o maior número de registros disponíveis para venda. RisePro, Vidar e StealC seguem isso. Esses dados sugerem que essas famílias de malware foram particularmente eficazes em campanhas recentes ou têm amplos canais de distribuição.

Os resultados da análise dos dados do gateway da Check Point revelam uma perspectiva diferente sobre a atividade dos infostealers. Nesses conjuntos de dados, o AgentTesla surge como o infostealer mais ativo, seguido de perto pelo FormBook (estatísticas detalhadas são fornecidas no próximo capítulo). As diferenças entre essas fontes de dados podem ser atribuídas aos tipos de

vítimas analisadas. A Check Point concentra-se principalmente em entidades corporativas, enquanto os dados do mercado russo abrangem um espectro mais amplo de vítimas, a maioria das quais são usuários de dispositivos pessoais.

Outras análises de dados da Cyberint, uma empresa da Check Point, destacam as principais credenciais de URL roubadas de máquinas infectadas. Embora muitos desses URLs pertençam aos principais serviços de Internet e plataformas de mídia social, como esperado, outros sites visitados com frequência incluem Roblox, Discord, Twitch e EpicGames. Isso sugere que os “jogadores” podem ser mais suscetíveis a infecções por infostealers, provavelmente devido às práticas menos rigorosas de higiene na Internet nessas comunidades.

Outra observação importante é a trajetória de crescimento de famílias específicas de malware. Por exemplo, a prevalência do RedLine Stealer mais que quadruplicou nos últimos três anos.

O aumento de infostealers pode ser atribuído à diminuição da popularidade das redes de bots.Em maio, uma operação de coalizão chamada “Endgame” teve como alvo as infraestruturas de botnets usadas para distribuir malware, concentrando-se em grupos como IcedID, Smokeloader, Pikabot, Bumblebee, SystemBC e Trickbot. Como resultado do Endgame, mais de 100 servidores foram desmontados e mais de 2.000 domínios usados por esses criminosos cibernéticos foram apreendidos. Essas botnets desempenhavam anteriormente um papel central na distribuição de malware, e sua interrupção afetou drasticamente o ecossistema, contribuindo indiretamente para o aumento dos infostealers.

A popularidade dos Infostealers não passou despercebida pelas coalizões internacionais de aplicação da lei. Duas famílias de infostealers intimamente relacionadas, RedLine e Meta, foram o foco de uma grande operação de aplicação da lei conhecida como “Magnus”. Em outubro, essa operação resultou na apreensão de vários servidores e domínios associados a essas linhagens de malware.

A análise geográfica dos registros oferecidos para venda também fornece informações importantes. Uma parte substancial dos logs no mercado russo é originária da Índia e do Brasil.

Lumma

51%

Risepro

15%

Vidar

13%

StealC

10%

RedLine

8%

Racoon

3%

Figura 15 - Registros no mercado russo por família de infostealers (novembro de 2024).

Jan NovSetJulMar Mai Jan NovSetJulMar Mai

202420232022

NovSetJulMar MaiJan

Total

Figura 17 - Registros do RedLine encontrados em canais rastreados do Telegram 2022-2024 (Cyberint, uma empresa da Check Point).

Figura 16 - Principais URLs que aparecem em dados de infostealer, de acordo com dados da Cyberint, uma empresa Check Point.

accounts.google.com facebook.com roblox.com login.live.com instagram.com netflix.com discord.com login.microsoftonline.com amazon.com paypal.com twitch.tv twitter.com epicgames.com

1

13

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202523

https://www.europol.europa.eu/media-press/newsroom/news/largest-ever-operation-against-botnets-hits-dropper-malware-ecosystem#empact https://cyberscoop.com/redline-meta-operation-magnus-infostealers/

SERGEY SHYKEVICH

Gerente do grupo de Inteligência de Ameaça

Após o declínio das grandes redes de bots, os infostealers se tornaram uma ameaça significativa e em grande escala. Eles oferecem aos criminosos cibernéticos maneiras eficientes de roubar credenciais e tokens de sessão, contribuindo para fraudes financeiras e roubo de identidade e atuando como um ponto de entrada para a rede corporativa. Como as empresas adotam cada vez mais políticas de trabalho remoto e de BYOD (traga seu próprio dispositivo), é essencial que elas implementem estratégias de proteção.

Resto do mundo 55%

Índia 10% Brasil

8%

Vietnã2% Tailândia3%

Filipinas3% Turquia4%

Egito 5%

Paquistão 5%

Indonésia 5%

Figura 18 - Registros no mercado russo, por país de origem.

Embora a tecnologia do Infostealer não tenha evoluído drasticamente no último ano, o ambiente no qual o malware opera se transformou drasticamente. Os ladrões de informações agora ocupam uma posição de destaque no cenário da ofensiva cibernética. O amadurecimento do mercado de produtos infostealer e os registros que eles geram permitem que os IABs procurem e explorem com eficiência credenciais valiosas, permitindo que eles violem a rede corporativa.

COMBATENDO INFOSTEALERS: FORTALECENDO A SEGURANÇA CORPORATIVA NA ERA DO TRABALHO REMOTO A superfície de ataque corporativo em potencial se expandiu com a adoção generalizada de políticas de trabalho remoto e BYOD, pois os funcionários acessam ativos corporativos a partir de dispositivos pessoais, estendendo a rede de negócios para ambientes domésticos individuais. O fornecimento rápido e a capacidade de

pesquisa dos logs permitem que os IABs identifiquem rapidamente possíveis pontos de entrada na rede corporativa, muitas vezes contornando os mecanismos de MFA com uma sessão válida roubada cookies encontrada no dispositivo pessoal.

Para combater essas ameaças em evolução, as empresas devem estender suas medidas de segurança para cobrir a área de superfície expandida, incluindo os pontos de acesso dos funcionários. As organizações devem pesquisar ativamente indícios de que artefatos relacionados à empresa estão sendo vendidos em mercados criminosos para evitar possíveis violações. Ao ampliar as estratégias de proteção e permanecer alertas, as empresas podem fortalecer suas defesas contra as ameaças sofisticadas e interconectadas representadas pelos modernos infostealers.

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202524

COMPLEXIDADE DA ADMINISTRAÇÃO DA NUVEM A complexidade da administração da infraestrutura de nuvem acrescenta uma camada significativa de vulnerabilidade que não pode ser resolvida com um simples patch. O ecossistema em rápida evolução e a grande quantidade de provedores de nuvem, cada um oferecendo dezenas de serviços, terminologias e mecanismos de segurança, criam uma complexidade difícil de navegar. Como resultado, os administradores geralmente ficam sobrecarregados com a quantidade de definições e configurações necessárias para proteger seus ambientes de forma eficaz. Isso leva à exposição de recursos on-line ou a ambientes penetráveis que permitem caminhos fáceis de escalonamento de privilégios.

Um exemplo dessa complexidade administrativa pode ser visto nas identidades não humanas (contas de serviço, chaves API, usuários integrados etc.), que se mostraram difíceis de proteger. Em janeiro de 2024, a Microsoft não conseguiu proteger seu próprio ambiente Azure quando um grupo avançado de ameaças de estado-nação, a Midnight Blizzard, violou o ambiente de produção da Microsoft por meio de um aplicativo OAuth e de princípios de serviço

As configurações incorretas conhecidas e as práticas de segurança inadequadas continuam a desempenhar um papel significativo na condução de violações de dados em grande escala. Por exemplo, na Índia, 500 GB de informações pessoais e dados biométricos de milhões de indivíduos, incluindo policiais e militares, foram expostos em um bucket S3 mal configurado. A alternativa ao bucket S3 da Microsoft, os contêineres do Azure Blob Storage, também é suscetível a configurações incorretas. Um funcionário da Fujitsu expôs publicamente grandes quantidades de dados confidenciais, incluindo informações privadas de clientes, e-mails, chaves do AWS e senhas de texto simples. A BMW também sofreu com um contêiner de armazenamento exposto, vazando chaves secretas para acessar buckets privados e credenciais para outros serviços de nuvem.

No âmbito das práticas inadequadas de segurança de API, os desenvolvedores do Rabbit R1, um dispositivo de assistente pessoal orientado por IA, foram notificados depois que chaves de API codificadas para serviços de terceiros foram encontradas em sua base de código. Essas chaves eram excessivamente permissivas, concedendo essencialmente a capacidade de ler todas as respostas de bate-papo de cada cliente, o que poderia revelar informações confidenciais.

NUVEM: A SUPERFÍCIE DE ATAQUE EM CONSTANTE EXPANSÃO A infraestrutura da nuvem tornou-se parte integrante das estruturas de TI da maioria das organizações em 2024. Empresas de todos os tamanhos agora aproveitam a escalabilidade e a flexibilidade que a nuvem oferece para dar suporte a seus requisitos operacionais, como serviços de e-mail, operações de desenvolvimento, armazenamento de dados e serviços de produção de hospedagem. A nuvem permite que as organizações implementem e dimensionem rapidamente seus ambientes para atender às suas necessidades. Ao mesmo tempo, essa adoção generalizada trouxe um novo conjunto de vulnerabilidades de segurança que são cada vez mais exploradas por agentes de ameaças.

Cyber Wars - Edição 2024

O ecossistema de ransomware

A ascensão dos infostealers

Complexidades da nuvem

ANÁLISE GLOBAL04

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202525

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

04

O ECOSSISTEMA DE RANSOMWARE05

A ASCENSÃO DOS INFOSTEALERS06

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

https://msrc.microsoft.com/blog/2024/03/update-on-microsoft-actions-following-attack-by-nation-state-actor-midnight-blizzard/ https://www.wiz.io/blog/midnight-blizzard-microsoft-breach-analysis-and-best-practices https://www.wiz.io/blog/midnight-blizzard-microsoft-breach-analysis-and-best-practices https://hackread.com/data-leak-indian-police-military-biometric-data/ https://www.thestack.technology/fujitsu-breach-cloud-buckets/ https://techcrunch.com/2024/02/14/bmw-security-lapse-exposed-sensitive-company-information-researcher-finds/ https://www.theverge.com/2024/6/26/24186614/rabbit-r1-security-flaw-api-key-codebase https://www.theverge.com/2024/6/26/24186614/rabbit-r1-security-flaw-api-key-codebase

A ausência de controles robustos de autenticação e acesso em algumas organizações — especialmente a falta de autenticação multifatorial (MFA) para os serviços da nuvem — contribuiu para um incidente significativo de perda de dados este ano. Os invasores atacaram a Snowflake, uma plataforma de armazenamento de dados da nuvem, usando nomes de usuário e senhas obtidos por meio de vários infostealers. Isso permitiu que eles acessassem as contas da Snowflake de pelo menos 165 empresas, exfiltrassem dados confidenciais e emitissem pedidos de extorsão.

OS PERIGOS DOS AMBIENTES HÍBRIDOS A integração de recursos locais com serviços na nuvem por meio de provedores de gerenciamento de identidade e acesso (IAM), como o Microsoft Entra ID, tornou-se uma prática padrão. Essas configurações visam simplificar o IAM e permitir a autenticação de logon único (SSO). No entanto, essas integrações também se tornaram os principais alvos de ciberataques, devido à sua capacidade de facilitar o movimento lateral bidirecional. Embora as organizações se beneficiem da distribuição de seus dados e recursos entre sistemas na nuvem e no local, os invasores exploram os mesmos caminhos para implementar ataques destrutivos, exfiltrar dados confidenciais ou estabelecer backdoors dentro das organizações.

As empresas que usam serviços de e-mail baseados em nuvem, como o Microsoft 365, descobriram que a rede local comprometida também pode expor seus ativos de nuvem. Quando os invasores obtêm o controle de um ambiente local, eles podem migrar para ambientes de nuvem por meio de vários caminhos, como servidores Azure AD Connect (por meio do usuário Microsoft Entra Connect Sync) ou contas de usuário híbridas. Por exemplo, em 2024, o agente de ameaças Storm-0501, com motivação financeira, lançou ataques em vários estágios que comprometeram ambientes de nuvem híbridos, realizaram movimento lateral do local para a nuvem e implantaram contas backdoor antes de lançar o ransomware em toda a rede. A mesma tática foi usada em 2023, quando um grupo de ameaças baseado no Irã, o Mango Sandstorm (também conhecido como Mercury) e o Storm-1084, atacaram organizações israelenses. Os invasores aproveitaram a mudança para ambientes de nuvem para despejar conversas de e-mail, enviar e-mails e implementar ataques destrutivos em ativos de nuvem.

Em outro caso, um agente de ameaças com motivação financeira chamado UNC3944 (também conhecido como Scattered Spider) explorou contas SSO do Okta altamente privilegiadas para estender sua invasão da infraestrutura local para vários aplicativos de nuvem e SaaS, incluindo vCenter, CyberArk, SalesForce, Azure, CrowdStrike,

AWS e GCP. O invasor poderia, então, realizar inspeções de reconhecimento do portal da Web da Okta para identificar os aplicativos disponíveis, realizar atribuições de funções a esses aplicativos e, assim, mover-se lateralmente por vários provedores de nuvem e ativos das vítimas.

CONTAS SSO SOB ATAQUE A proteção de contas de SSO tornou-se uma tarefa cada vez mais preocupante e assustadora. Os agentes de ameaças, especialmente os grupos de ameaças avançadas, estão realizando ataques de preenchimento de credenciais em grande escala e ataques de força bruta "baixos e lentos" contra provedores de SSO e serviços de nuvem. Em abril de 2024, os pesquisadores da Okta observaram uma operação significativa de preenchimento de credenciais contra seu serviço, em que os invasores empregaram serviços de proxy residencial e outros anonimizadores para evitar a detecção. Da mesma forma, os pesquisadores da Microsoft relataram um grupo avançado de língua chinesa que aproveitou milhares de dispositivos SOHO comprometidos para executar ataques de pulverização de senhas de baixo volume em contas por trás do SSO da Microsoft, tentando apenas uma ou duas senhas por dia por conta de usuário.

Como as empresas dependem de provedores externos de SSO para se protegerem contra ataques de força bruta e outras técnicas maliciosas, elas também confiam nos registros e na visibilidade global dos fornecedores para detectar atividades suspeitas. Essa dependência gera preocupações sobre a dependência de práticas de segurança de terceiros, manifestadas no relatório de setembro da Microsoft de que alguns clientes receberam apenas uma coleta parcial de registros devido a um problema no sistema.

A POPULARIDADE DA IA A IA também afeta a nuvem, pois as soluções de IA generativa (GenAI) são oferecidas como um serviço por todos os principais provedores de serviços em nuvem (CSPs). As empresas escolhem soluções de modelo de linguagem grande (LLM) dos CSPs em vez de usar serviços de GenAI como o ChatGPT diretamente por meio de uma API por vários motivos. Por um lado, elas podem criar, treinar e implementar modelos personalizados adaptados às suas necessidades comerciais específicas ou usar o Retrieval-Augmented Generation (RAG) para integrar suas bases de conhecimento e conjuntos de dados proprietários. Outro motivo é a privacidade e a proteção dos dados; ao aproveitar as soluções baseadas em CSP, as empresas têm maior controle sobre seus dados, garantindo que o conteúdo do bate-papo não seja usado para treinar modelos públicos.

Cyber Wars - Edição 2024

O ecossistema de ransomware

A ascensão dos infostealers

Complexidades da nuvem

ANÁLISE GLOBAL04

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202526

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

04

O ECOSSISTEMA DE RANSOMWARE05

A ASCENSÃO DOS INFOSTEALERS06

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

https://thehackernews.com/2024/06/snowflake-breach-exposes-165-customers.html https://thehackernews.com/2024/06/snowflake-breach-exposes-165-customers.html https://www.microsoft.com/en-us/security/blog/2024/09/26/storm-0501-ransomware-attacks-expanding-to-hybrid-cloud-environments/ https://www.microsoft.com/en-us/security/blog/2023/04/07/mercury-and-dev-1084-destructive-attack-on-hybrid-environment/ https://cloud.google.com/blog/topics/threat-intelligence/unc3944-targets-saas-applications https://sec.okta.com/blockanonymizers https://www.microsoft.com/en-us/security/blog/2024/10/31/chinese-threat-actor-storm-0940-uses-credentials-from-password-spray-attacks-from-a-covert-network/ https://www.bleepingcomputer.com/news/security/microsoft-warns-it-lost-some-customers-security-logs-for-a-month/

MICHAEL ABRAMZON

Inteligência de Ameaça e Arquiteto de Pesquisa

À medida que as ofertas de nuvem continuam a crescer, o mesmo acontece com a superfície de ataque à nuvem. Incidentes recentes destacam a necessidade de gerenciamento contínuo da postura e prevenção proativa de ameaças em ambientes híbridos e multinuvem para detectar e bloquear ataques sofisticados

Naturalmente, os agentes de ameaças encontrarão maneiras de explorar essas novas tecnologias para seu próprio benefício financeiro. Até recentemente, os agentes se concentravam principalmente no sequestro de recursos de nuvem para realizar criptojacking (criptomineração) em um único servidor vulnerável ou em um cluster Kubernetes. Este ano, os invasores encontraram uma nova oportunidade chamada LLMjacking. Depois que uma conta da nuvem é comprometida, os invasores assumem o controle dos modelos de LLM hospedados existentes ou tentam implantar novos modelos. Em um caso, os invasores usaram um proxy de LLM para revender o acesso a esses LLMs para terceiros. Em outro caso, os invasores combinaram jailbreaks de LLM — uma técnica para remover limitações de tópicos de bate-papo proibidos — para vender personagens de chatbot sem censura que eram NSFW.

Como grupos de ameaças afiliados ao Estado da Rússia, China e Irã foram “pegos” pela Microsoft e pela OpenAI abusando do ChatGPT para pesquisar tópicos avançados, criar ferramentas e encontrar vulnerabilidades, alguns agentes de ameaças podem migrar para instâncias privadas de LLM para melhorar a segurança operacional.

DESAFIOS DE SEGURANÇA NA INFRAESTRUTURA DA NUVEM Os incidentes deste ano destacam os desafios críticos de segurança que estão surgindo com a adoção generalizada da infraestrutura de nuvem. A administração complexa, as configurações incorretas e a vulnerabilidade em ambientes híbridos levaram a violações significativas. À medida que as tecnologias de nuvem continuam a evoluir, o mesmo acontece com as táticas daqueles que procuram explorá-las. Medidas proativas serão essenciais para proteger ambientes de nuvem cada vez mais complexos.

Cyber Wars - Edição 2024

O ecossistema de ransomware

A ascensão dos infostealers

Complexidades da nuvem

ANÁLISE GLOBAL04

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202527

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

04

O ECOSSISTEMA DE RANSOMWARE05

A ASCENSÃO DOS INFOSTEALERS06

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

https://sysdig.com/blog/llmjacking-stolen-cloud-credentials-used-in-new-ai-attack/ https://www.lacework.com/blog/detecting-ai-resource-hijacking-with-composite-alerts https://www.lacework.com/blog/detecting-ai-resource-hijacking-with-composite-alerts https://permiso.io/blog/exploiting-hosted-models https://www.microsoft.com/en-us/security/blog/2024/02/14/staying-ahead-of-threat-actors-in-the-age-of-ai/

Tradicionalmente, os dispositivos de borda têm sido o principal interesse de agentes patrocinados pelo Estado, especialmente aqueles associados a grupos de ameaças chineses. No entanto, os grupos de crimes cibernéticos têm visado cada vez mais esses ativos, adotando táticas semelhantes para obter ganhos financeiros.

Em 2024, o número de vulnerabilidades de dia zero divulgadas que afetam os dispositivos de borda aumentou significativamente, com mais de uma dúzia visando especificamente os dispositivos de vários fornecedores. Essas vulnerabilidades receberam uma pontuação de risco CVSS de oito ou mais, ressaltando sua gravidade crítica e seu possível impacto.

Um desenvolvimento notável é o aumento de botnets complexos usados como ORBs. Uma das mais sofisticadas é o botnet Raptor Train, orquestrado pelo grupo de APT chinês Flax Typhoon, que reuniu mais de 200.000 dispositivos comprometidos, incluindo roteadores para pequenos escritórios/escritórios domésticos (SOHO), sistemas NAS e câmeras IP. Organizada em camadas de vários níveis, a estrutura do botnet suporta um sistema de comando e controle (C2) por meio da plataforma "Sparrow", permitindo operações remotas, ataques DDoS e espionagem. Os atacantes aproveitam tanto as vulnerabilidades conhecidas quanto as de dia zero, criando uma infraestrutura de ataque escalável e persistente com alcance global. Por meio desses dispositivos, o Flax Typhoon mantém o controle operacional, apresentando riscos significativos para entidades dos setores público e privado.

O Flax Typhoon não é o único agente alinhado à China que opera por meio de ORBs. Outro agente patrocinado pelo Estado e ligado à China é o Volt Typhoon, conhecido por atacar infraestruturas críticas dos EUA. Esse grupo tem operado por meio de uma rede diferente para ocultar suas atividades. A KV-botnet é uma rede sofisticada de roteadores SOHO comprometidos e um dispositivo firewall que visa principalmente equipamentos em fim de vida útil (EoL) de fabricantes como Cisco e NetGear. Essa rede é usada por vários agentes chineses, o que complica os esforços de atribuição.

Além dos agentes afiliados ao Estado, os atacantes com motivação financeira também usam serviços de proxy alimentados por dispositivos IoT e EoL comprometidos. TheMoon, abrange mais de 40.000 dispositivos comprometidos. Os criminosos cibernéticos usam esses roteadores mais antigos como nós de anonimato para ocultar atividades mal-intencionadas, como exfiltração de dados e preenchimento de credenciais. A dependência de dispositivos EoL ressalta um grande risco: milhares de dispositivos sem suporte permanecem vulneráveis a comprometimentos, fornecendo aos atacantes uma infraestrutura resiliente que contorna as defesas convencionais.

A AMEAÇA EM EVOLUÇÃO DOS DISPOSITIVOS DE BORDA E ORBS No último ano, tanto os criminosos cibernéticos quanto os agentes patrocinados pelo Estado aumentaram significativamente a exploração de dispositivos de borda como um vetor de acesso inicial. Os dispositivos de borda, como roteadores, firewall e aparelhos VPN, são particularmente atraentes devido à falta de soluções de segurança dedicadas. Eles são frequentemente explorados para configurar a infraestrutura de anonimização comumente chamada de ORBs (Operational Relay Boxes). As ORBs representam um tipo de infraestrutura de rede que os agentes de ameaças cibernéticas usam para tornar anônimas e retransmitir comunicações entre vários dispositivos, muitos dos quais estão comprometidos, criando canais secretos que evitam a detecção.

Dispositivos de borda e ORBs

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

O ESTADO DA CIBERSEGURANÇA EM 202528

https://blog.lumen.com/derailing-the-raptor-train/ https://blog.lumen.com/derailing-the-raptor-train/ https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/ https://www.microsoft.com/en-us/security/blog/2023/05/24/volt-typhoon-targets-us-critical-infrastructure-with-living-off-the-land-techniques/ https://blog.lumen.com/kv-botnet-dont-call-it-a-comeback/ https://blog.lumen.com/the-darkside-of-themoon/

Este ano, os dispositivos de borda corporativa enfrentaram cada vez mais a exploração de dia zero, à medida que os invasores continuaram a reaproveitá-los para uma penetração mais ampla na rede. No início de 2024, foram descobertas vulnerabilidades de alta gravidade no Ivanti Connect Secure e no PAN-SO GlobalProtect da Palo Alto Networks, permitindo a execução remota de códigos e o desvio de multifatores. Tanto os agentes de estado-nação quanto os grupos de ransomware exploraram esses dispositivos como pontos de entrada para acessar e comprometer ambientes confidenciais. Essas explorações de dia zero em dispositivos de borda têm consequências significativas, pois esses dispositivos não são facilmente corrigidos, dada sua função crítica no fluxo de rede principal. A correção do dispositivo de borda pode interromper os serviços da rede por algum tempo, o que pode ter consequências operacionais consideráveis.

Alguns agentes passaram a explorar o dispositivo de borda como uma metodologia. O Magnet Goblin, um agente com motivação financeira que surgiu pela primeira vez em 2024, concentra-se na exploração rápida de vulnerabilidades recém-divulgadas em dispositivos de ponta amplamente usados. Suas campanhas tiveram como alvo o Ivanti Connect Secure VPNs e softwares populares como Magento e Qlik Sense para implantar malware personalizado. O kit de ferramentas do Magnet Goblin inclui o NerbianRAT, um Trojan de acesso remoto (RAT) multiplataforma, e o MiniVerbian, um

backdoor de Linux. A ênfase do agente em explorar rapidamente a vulnerabilidade do dispositivo de borda destaca uma tendência mais ampla de ataques com motivação financeira contra esses componentes essenciais, usando ferramentas como o WARPWIRE, um JavaScript de roubo de credenciais para acessar dados confidenciais em tempo real.

A appliance SSLVPN da Check Point também foi alvo da vulnerabilidade de caminho traversal identificada como CVE-2024- 24919. Essa exploração permitiu que os invasores acessassem e lessem arquivos no dispositivo SSLVPN, incluindo hashes de senhas confidenciais e arquivos de configuração. Quando esses dispositivos são configurados com métodos de autenticação mais fracos, como acesso por nome de usuário e senha, eles ficam propensos a leituras de dados não autorizadas. Esse ataque demonstra a evolução do foco em dispositivos de borda por diferentes agentes de ameaças, que podem explorar rapidamente qualquer vulnerabilidade emergente.

Embora os criminosos cibernéticos tenham aprimorado a exploração de dispositivos de ponta, os agentes patrocinados pelo Estado continuam demonstrando sua superioridade tecnológica. Eles usam explorações de dia zero para realizar implantes personalizados feitos sob medida para dispositivos específicos. As Adaptive Security Appliances (ASA) da Cisco foram alvo de uma campanha sofisticada

Ativos comprometidos

Plataforma de ORB anônima

Servidores C&C ORB

Tráfico anônimo

Acesso backdoor à rede corporativa

Ataques de força bruta

Ataques de DDoS

Roteadores SOHO Firewalls corporativos

Dispositivos de IoTGateways VPN

Figura 19 – Visão geral da infraestrutura de ORB.

VULNERABILIDADES SIGNIFICATIVAS DO DISPOSITIVO DE BORDADIVULGADAS EM 2024

Figura 20 – Linha do tempo da vulnerabilidade do dispositivo de borda divulgada em 2024.

Dispositivos de borda e ORBs

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

O ESTADO DA CIBERSEGURANÇA EM 202529

https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/ https://support.checkpoint.com/results/sk/sk182336 https://support.checkpoint.com/results/sk/sk182336 https://blog.talosintelligence.com/arcanedoor-new-espionage-focused-campaign-found-targeting-perimeter-network-devices/

LOTEM FINKELSTEIN

Diretor, Inteligência de Ameaça e Pesquisa

Com milhares de dispositivos sem suporte em risco de ataque, os agentes de ameaças têm acesso à infraestrutura que contorna as medidas de segurança tradicionais. Patches oportunos, monitoramento completo e sistemas de detecção robustos serão cruciais

conhecida como ArcaneDoor. Explorando os pontos fracos da ASA, essa operação permitiu que agentes do estado-nação se infiltrassem em redes governamentais e industriais, obtivessem informações confidenciais e estabelecessem recursos de espionagem de longo prazo. Durante toda a campanha, os agentes da ameaça utilizaram um implante exclusivo, feito sob medida para o dispositivo afetado, indicando esforços significativos de pesquisa e desenvolvimento.

Foram descobertos muitos implantes personalizados para vários produtos de segurança. Um desses esforços, com o codinome Pacific Rim, sugere que os agentes chineses têm visado os dispositivos de perímetro, como o firewall Sophos e o gateway VPN, há vários anos. O Pacific Rim usou várias táticas para explorar a vulnerabilidade em serviços voltados para a Internet, incluindo CVE- 2020-12271 e CVE-2022-1040, e permitiu o acesso a pontos críticos da rede. Uma vez comprometidos, esses dispositivos tornam-se parte de uma rede ORB que oferece suporte a canais secretos de comando e controle (C2) que evitam a detecção. Os atacantes usaram técnicas avançadas em sua operação, como implantes de rootkit e hotfixes ofuscados, para manter a persistência e ocultar sua presença em dispositivos comprometidos. Isso permitiu que a operação passasse de dispositivos de ponta para ativos de rede internos, concentrando-se em alvos de alto valor em toda a região do Indo-Pacífico. A abordagem sustentável e estratégica da Pacific Rim enfatiza a vulnerabilidade dos dispositivos de borda, principalmente em setores em que é difícil obter um monitoramento abrangente e a aplicação de patches em tempo hábil.

Embora esses backdoors sofisticados tenham se tornado mais comuns com o tempo, é importante observar que muitas ameaças "clássicas" de dispositivos de borda não seguros ainda estão presentes no ecossistema cibernético. Em setembro de 2024, a CloudFlare começou a se defender de uma campanha DDoS de meses que foi divulgada como o maior volume de ataque já relatado por qualquer organização. Esses ataques de alta taxa de pacotes parecem se originar de vários tipos de dispositivos comprometidos, incluindo dispositivos MikroTik, DVRs e servidores da Web. A alta taxa de bits originou-se de um grande número de roteadores domésticos ASUS comprometidos, que provavelmente foram explorados usando uma vulnerabilidade crítica. Atualmente, esse ataque em larga escala não foi atribuído a nenhum agente patrocinado pelo Estado ou grupo de crime cibernético.

Em 2024, botnets em grande escala criados a partir de dispositivos de borda vulneráveis e não monitorados tornaram-se uma parte indispensável dos arsenais de agentes de ameaças avançadas, sejam eles usados para anonimização, exploração de rede, persistência ou ataques DDoS recordes.

ORBs e botnets como o Raptor Train e o Faceless usam infraestruturas C2 descentralizadas que podem alternar dinamicamente entre dispositivos comprometidos. Isso permite que os invasores girem os nós e evitem a detecção com eficácia. Algumas variantes de malware, como o TheMoon, empregam estratégias avançadas de evasão, incluindo execução somente na memória e troca frequente de IP, o que complica ainda mais os esforços de atenuação. Juntamente com o ciclo contínuo de dispositivos infectados, essas táticas apresentam desafios significativos para os defensores.

Originalmente uma tática usada por agentes do estado-nação para infiltração secreta, a estratégia de direcionar dispositivos de ponta foi agora cooptada por atacantes com motivação financeira que utilizam kits de ferramentas prontos para uso. Essa abordagem permitiu violações de alvos de alto valor, permanecendo sem ser detectada por longos períodos. O direcionamento persistente de dispositivos de borda destaca uma segurança crítica de API. Os dispositivos de rede expostos publicamente permanecerão em risco considerável sem a aplicação imediata de patches, o monitoramento abrangente e os sistemas de detecção robustos.

Dispositivos de borda e ORBs

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

O ESTADO DA CIBERSEGURANÇA EM 202530

https://news.sophos.com/en-us/2024/10/31/pacific-rim-timeline/ https://blog.cloudflare.com/how-cloudflare-auto-mitigated-world-record-3-8-tbps-ddos-attack/ https://censys.com/june-20-improper-authentication-vulnerability-in-asus-routers/ https://censys.com/june-20-improper-authentication-vulnerability-in-asus-routers/

ANÁLISE GLOBAL

00 44 O ESTADO DA CIBERSEGURANÇA EM 2025

GLOBAL

6% Dispositivos móveis

2% Criptomineradores

19% Infostealer

39% Malware multifuncional

AMÉRICAS

4% Dispositivos móveis

1% Criptomine- radores

15% Infostealer

32% Malware multifuncional

EMEA

6% Dispositivos móveis

2% Criptomineradores

20% Infostealer

42% Malware multifuncional

APAC

8% Dispositivos móveis

5% Criptomine- radores

28% Infostealer

42% Malware multifuncional

A Figura 1 mostra os ataques de acordo com o tipo de malware. Esses números excluem varreduras gerais e tratam apenas de ataques diretos, o que nos permitiu classificar o tipo de malware e sua intenção.

Em 2024, houve um aumento notável nas tentativas de ataques tanto por Infostealers quanto por malware multiuso. O malware multiuso (RATs, botnets e bankers) é usado com frequência nos estágios iniciais de um ataque para lançar ferramentas adicionais e expandir o controle dos atacantes sobre o sistema violado. Portanto, não é de surpreender que esse seja o tipo de malware mais comum, com 39% das organizações afetadas em 2024. Esse número marca um aumento significativo de 25% em comparação com 2023, quando apenas 31% das organizações enfrentaram tentativas semelhantes.

As tentativas de infecção por infostealer também aumentaram

significativamente de 12% para 19% nas organizações afetadas em 2024, um aumento de 58%. O aumento dos ataques de infostealer, normalmente distribuídos por campanhas em massa em vez de visar vítimas específicas, reflete um ecossistema em amadurecimento e uma demanda crescente por registros de infostealer roubados contendo credenciais, cookies de sessão e outras informações pessoais. Os infostealers são usados para várias atividades mal- intencionadas, desde fraudes diretas por meio de credenciais financeiras roubadas até o aproveitamento de cookies de sessão roubados para violar a rede corporativa. Detalhes adicionais sobre os desenvolvimentos recentes no ecossistema de infostealers são fornecidos no capítulo Tendências, e uma seção de dados dedicada será fornecida mais adiante neste capítulo.

Os ataques de mineradores de criptomoedas, instalados sem o conhecimento dos proprietários do sistema, caíram significativamente, de 9% para apenas 2% das organizações afetadas. A maioria dos mineradores de criptomoedas que vimos tem como alvo a criptomoeda Monero, cuja dificuldade de mineração (esforço computacional necessário para minerar Monero) quase dobrou este ano, passando de uma média de 260G em janeiro para quase 450G em dezembro. Isso diminui criticamente sua lucratividade. Mais detalhes sobre mineradores de criptomoedas são apresentados em uma seção dedicada.

CATEGORIAS DE CIBERATAQUES POR REGIÃO

58% AUMENTO NAS TENTATIVAS DE INFECÇÃO POR INFOSTEALER EM 2024

Figura 1 - Porcentagem de organizações afetadas por tipos de malware em 2024.

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202532

Maior risco Menor risco Cinza - dados insuficientes

MAPA GLOBAL DO ÍNDICE DE AMEAÇAS

Maior risco Dados insuficientes

Figura 2 - O mapa exibe o índice de risco de ameaças cibernéticas globalmente, demonstrando as principais áreas de risco em todo o mundo.

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202533

ATAQUES POR ORGANIZAÇÃO Os ataques globais gerais contra organizações aumentaram significativamente no ano passado, com o número médio de ataques semanais por organização chegando a 1.673. Isso é 44% maior do que em 2023. A Figura 3 ilustra o número médio de ataques semanais por organização por setor. Em 2024, houve um aumento significativo no número de ataques por semana na maioria dos setores. O setor educacional apresenta o maior volume, com um aumento de 75% ano após ano, superando uma média de 3.574 ataques semanais. As instituições educacionais foram especificamente direcionadas para a coleta de informações pessoais. Esse aumento persistente nas taxas de ataque afeta universidades, escolas e departamentos e serviços educacionais.

O setor de saúde também testemunhou um aumento de 47% na média de ataques semanais. Os cibercriminosos estão abandonando cada vez mais as proibições auto-impostas anteriormente contra o ataque a serviços de saúde. O setor de saúde é particularmente vulnerável a interrupções prolongadas de serviços (conforme observado na seção anterior sobre ransomware) e a natureza altamente sensível dos dados de pacientes que eles mantêm.

O setor da cadeia de suprimentos tecnológicos, incluindo empresas de software, hardware e semicondutores, também sofreu um aumento significativo nos ataques cibernéticos. Notadamente, os setores de hardware e semicondutores registraram o aumento mais acentuado, com um aumento impressionante de 179% na média de ataques semanais, com o número total agora ultrapassando 1.400. Esse pico pode ser atribuído à crescente demanda global por hardware e ao maior foco em tecnologias de IA. Como componentes essenciais da infraestrutura moderna e da inovação, esses setores se tornaram os principais alvos dos criminosos cibernéticos que buscam explorar a vulnerabilidade da cadeia de suprimentos para obter ganhos financeiros, espionagem ou interrupção.

+75%

+43%

+47%

+40%

+42%

3.574

2.286

2.210

2.084

1.579

1.577

1.572

1.554

1.553

1.553

1.520

1.510

1.486

1.434

1.422

1.415

1.410 +179%

+33%

+30%

+71%

845 -34%

854

1.180 +58%

1.270 +33%

1.312

1.361

+43%

+109%

Tecnologia da informação

Agricultura

Transporte & Logística

Hospitalidade, Turismo & Lazer

Fabricação Industrial

Software

Hardware & Semicondutores

Atacado & Distribuição

Imóveis, Aluguel & Locação

Serviços corporativos

Biotecnologia & Farmacêutica

Serviços financeiros

Associações & Organizações sem fins lucrativos

Mídia & Entretenimento

Automotiva

Bens de consumo & Serviços

Aeroespacial & Defesa

Energia & Serviços

Construção & Engenharia

Telecomunicações

Saúde & Médica

Governo

Educação

Figura 3 - Média global de ataques semanais por organização por setor em 2024 [% de mudança em relação a 2023]. [*] Setores recém-introduzidos que não faziam parte do relatório anterior.

(% DE VARIAÇÃO A PARTIR DE 2023)

GLOBAL ATAQUES SEMANAIS POR ORGANIZAÇÃO

POR SETOR EM 2024 OS ATAQUES GLOBAIS GERAIS CONTRA ORGANIZAÇÕES AUMENTARAM SIGNIFICATIVAMENTE NO ANO PASSADO, COM O NÚMERO MÉDIO DE ATAQUES SEMANAIS POR ORGANIZAÇÃO CHEGANDO A 1.673. ISSO FOI 44% MAIOR DO QUE EM 2023

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202534

https://blog.checkpoint.com/research/check-point-research-reports-highest-increase-of-global-cyber-attacks-seen-in-last-two-years-a-30-increase-in-q2-2024-global-cyber-attacks https://thecyberexpress.com/cuhk-data-breach-in-hong-kong-varsity/ https://therecord.media/toronto-school-district-board-ransomware https://www.reuters.com/technology/cybersecurity/blacksuit-hacker-behind-cdk-global-attack-hitting-us-car-dealers-2024-06-27 https://www.securityweek.com/cisco-confirms-security-incident-after-hacker-offers-to-sell-data/ https://www.theregister.com/2024/08/26/amd_internal_data_intelbroker/ https://www.reuters.com/technology/microchip-technologys-certain-operations-disrupted-by-cyber-incident-2024-08-20

html 61%

22%

5%

4%

3%

0.2%

0.2%

0.7%

0.7%

1.2%

pdf

exe

lnk

js

xls*

doc*

rtf

bat

iso

Figura 5 - E-mail – Principais tipos de arquivos maliciosos em 2024. xls* inclui arquivos comuns do Office Excel, como .xls, .xlsx, .xlsm e muito mais doc* inclui arquivos comuns do Office Word, como .doc, .docx, docm e .dot

E-MAIL OS MAIS MALICIOSOS

TIPOS DE ARQUIVO EM 2024

exe 54%

11%

8%

5%

4%

1%

1%

1%

2%

3%

dll

pdf

jar

apk

doc*

sh

xls*

elf

msi

Figura 4 - Web – Principais tipos de arquivos maliciosos em 2024. xls* inclui arquivos comuns do Office Excel, como .xls, .xlsx, .xlsm e muito mais doc* inclui arquivos comuns do Office Word, como .doc, .docx, docm e .dot

WEB OS MAIS MALICIOSOS

TIPOS DE ARQUIVO EM 2024

O declínio dos ataques de macros maliciosas em documentos do Office levou a uma mudança de tática: a maioria dos e-mails maliciosos agora contém arquivos HTML ou documentos PDF. Os usos mal-intencionados de arquivos HTML incluem phishing e roubo de credenciais, geralmente obtidos pela replicação de páginas de login legítimas. Outros casos de uso incluem técnicas mais avançadas, como contrabando de HTML, redirecionamento para sites mal-intencionados, explorações de navegador e outros métodos. Notavelmente, 61% dos arquivos maliciosos enviados por e-mail incluem anexos HTML.

Os arquivos PDF maliciosos são outro vetor de ataque predominante, encontrado em 22% dos e-mails maliciosos. Esses arquivos geralmente envolvem a incorporação de código JavaScript ou links incorporados no documento, que podem acionar downloads no site malware ou redirecionar as vítimas para sites mal-intencionados. Em alguns casos, os PDFs exploram a vulnerabilidade de um software leitor de PDF desatualizado para executar códigos no computador da vítima.

Arquivos maliciosos também se tornaram um vetor de ataque comum em campanhas cibernéticas, aproveitando formatos como ZIP, RAR, 7z e muito mais. Entre eles, os arquivos ZIP são os mais comuns e

Os ataques baseados em e-mail continuam sendo o vetor de ataque inicial dominante, com 68% dos ataques originados por e-mail. Isso persiste, apesar de um aumento significativo nos ataques entregues pela Web (32%), o que é atribuído principalmente à predominância de estruturas de distribuição de malware baseadas em sites infectados, como o FakeUpdates.

68% DE ATAQUES ORIGINÁRIOS DE E-MAIL 61% DOS ARQUIVOS MALICIOSOS ENTREGUES POR E-MAIL INCLUEM ANEXOS HTML

84% 16%

86% 14%

89% 11%

68% 32%

2024202320222021

E-MAIL

WEB

Figura 7 - Protocolos de entrega — vetores de ataque de E-mail versus Web em 2021-2024.

zip 31%

22%

8%

6%

4%

1%

2%

2.1%

2.6%

3.2%

rar

7z

gz

z

tar

lzh

arj

img

cab

Figura 6 - Principais tipos de arquivos maliciosos de e-mail e Web em 2024.

ARQUIVOS OS MAIS MALICIOSOS

TIPOS DE ARQUIVO EM 2024

VETORES DE ATAQUE

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202535

https://research.checkpoint.com/2023/the-obvious-the-normal-and-the-advanced-a-comprehensive-analysis-of-outlook-attack-vectors/ https://research.checkpoint.com/2023/the-obvious-the-normal-and-the-advanced-a-comprehensive-analysis-of-outlook-attack-vectors/ https://research.checkpoint.com/2023/chinese-threat-actors-targeting-europe-in-smugx-campaign/ https://research.checkpoint.com/2023/chinese-threat-actors-targeting-europe-in-smugx-campaign/ https://research.checkpoint.com/2024/foxit-pdf-flawed-design-exploitation/

representam 31% dos arquivos maliciosos, seguidos pelos arquivos RAR com 22% e pelos arquivos 7z com 8%. Os arquivos arquivados são particularmente eficazes para evitar a detecção, pois comprimem cargas maliciosas e ofuscam seu conteúdo, dificultando a análise das soluções de segurança.

Um desafio notável para os mecanismos de segurança surge quando os invasores usam arquivos protegidos por senha. Esses arquivos não podem ser verificados em busca de conteúdo malicioso sem a senha, que geralmente é incluída no corpo do e-mail ou compartilhada separadamente. Ao criptografar o conteúdo do arquivo, os agentes de ameaças tentam contornar as defesas automatizadas. Uma vez extraídos, esses arquivos podem fornecer malware diretamente ao sistema da vítima. Os atacantes geralmente usam a entrega em vários estágios, em que o arquivo inicial contém documentos ou scripts aparentemente inofensivos que, quando executados, baixam a carga maliciosa real de um servidor remoto. O aumento do uso de arquivos compactados destaca as táticas em evolução dos criminosos cibernéticos para explorar os pontos fracos da segurança de e-mail e aproveitar a confiança do usuário para executar ataques com sucesso.

Os arquivos DLL (Dynamic Link Libraries) carregamento lateral ou sequestro de DLL. Nesses casos, os invasores exploram um aplicativo legítimo vulnerável colocando um arquivo DLL malicioso no mesmo diretório de um executável confiável. Quando o aplicativo é executado, ele carrega a DLL maliciosa em vez da DLL pretendida, permitindo que o invasor execute códigos arbitrários. Essa técnica é particularmente eficaz para evitar a detecção, pois o aplicativo legítimo atua como um portador confiável para a carga útil e as DLLs mal-intencionadas.

por meio da Web geralmente dependem de downloads automáticos, sites comprometidos ou anúncios enganosos para entregar esses arquivos, destacando a importância da filtragem da Web, do software de segurança atualizado e da conscientização do usuário para atenuar essas ameaças. Os arquivos maliciosos entregues pela Web estão aumentando, aproveitando formatos de arquivos como EXE, DLL e PDF para distribuir malware. Entre eles, os arquivos EXE são os mais predominantes, representando 54% dos arquivos mal-intencionados por meio da Web. Esses arquivos executáveis geralmente são disfarçados de software legítimo ou atualizações, enganando os usuários para que façam o download e os executem. Os arquivos DLL compreendem 11% desses ataques, enquanto os arquivos PDF representam 8%.

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202536

https://research.checkpoint.com/2024/stargazers-ghost-network/ https://research.checkpoint.com/2024/stargazers-ghost-network/ https://research.checkpoint.com/2024/massive-phishing-campaign-deploys-latest-rhadamanthys-version/ https://research.checkpoint.com/2024/10-years-of-dll-hijacking-and-what-we-can-do-to-prevent-10-more/

ESTATÍSTICAS GLOBAIS DE MALWARE Comparações de dados apresentadas nas seguintes seções são baseadas em dados retirados do mapa de ameaças cibernéticas ThreatCloud da Check Point entre janeiro e dezembro de 2024.

Para cada região abaixo, apresentamos o malware mais predominante em 2024 e a porcentagem da rede corporativa afetada por cada família malware.

ANÁLISE GLOBAL DOS PRINCIPAIS MALWARES Nossa análise destaca as famílias de malware mais frequentemente detectadas e identificadas pelas proteções de rede da Check Point. É importante observar que essas famílias não são necessariamente as mais sofisticadas ou perigosas, mas são as mais amplamente distribuídas.

FakeUpdates (SocGholish) continua liderando a classificação de malware mais prevalente da Check Point em 2024. Essa operação de malware se baseia em uma rede de sites comprometidos para distribuir malware disfarçado de navegador falso ou prompts de atualização de software. Os avisos enganosos induzem os usuários a baixar e executar um baixador baseado em JScript que, por sua vez, baixa adicionalmente um malware. A rede de sites comprometidos é atribuída ao TA569, um proeminente Initial Access Broker (IAB) que acredita-se operar em um modelo de pagamento por instalação (PPI). O TA569 fornece acesso ao sistema para outros criminosos cibernéticos, que geralmente implantam ransomware ou outras cargas maliciosas.

Qbot, uma das famílias mais antigas e versáteis do malware, sofreu um declínio drástico no ano passado. Anteriormente em segundo lugar em nossa classificação, a atividade do Qbot foi significativamente interrompida no final de 2023, após uma operação multinacional liderada pelo FBI que visou e desmantelou a Infraestrutura de TI. Desde então, muitos agentes de ameaças que anteriormente distribuíam o Qbot mudaram para outras cepas do malware, incluindo o DarkGate

AgentTesla, uma presença regular em nossa lista de malware mais prevalentes desde 2020, é especializado em roubar informações confidenciais de sistemas infectados. A Check Point Research continua a monitorar esse infostealer que é frequentemente implantado em campanhas globais. O AgentTesla pode extrair uma ampla gama de dados de máquinas comprometidas, incluindo pressionamentos de teclas, credenciais de login de navegadores da Web e credenciais de clientes de e-mail.

Figura 8 - Malwares mais comuns em todo o mundo – 2024. Figura 9 - Malwares mais comuns nas Américas – 2024.

Figura 10 - Malwares mais comuns na EMEA – 2024. Figura 11 - Malwares mais comuns na APAC – 2024.

Nanocore

NJRAT

Lumma

Androxgh0st

AsyncRAT

Formbook

CloudEyE

Remcos

AgentTesla

FakeUpdates

4%

16%

12%

10%

10%

9%

8%

7%

5%

4%

Mirai

Ramnit

NJRAT

Lumma

AgentTesla

Formbook

Androxgh0st

Remcos

AsyncRAT

FakeUpdates

5%

14%

10%

9%

9%

8%

7%

6%

5%

5%

16%

12%

8%

8%

7%

7%

5%

5%

4%

3%Nanocore

NJRAT

Lumma

CloudEyE

AsyncRAT

Androxgh0st

Formbook

Remcos

AgentTesla

FakeUpdates

2%DarkGate

17%

15%

7%

6%

5%

4%

4%

4%

2%Mirai

NJRAT

Lumma

AsyncRAT

Formbook

Remcos

Androxgh0st

AgentTesla

FakeUpdates

EMEA APAC

GLOBAL AMÉRICAS

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202537

https://threatmap.checkpoint.com/ https://threatmap.checkpoint.com/ https://arcticwolf.com/resources/blog-uk/abusing-boinc-fakeupdates-campaign-bundling-malware-legitimate-software/ https://arcticwolf.com/resources/blog-uk/abusing-boinc-fakeupdates-campaign-bundling-malware-legitimate-software/ https://www.proofpoint.com/us/blog/threat-insight/ta569-socgholish-and-beyond https://www.proofpoint.com/us/blog/threat-insight/ta569-socgholish-and-beyond https://www.fbi.gov/news/stories/fbi-partners-dismantle-qakbot-infrastructure-in-multinational-cyber-takedown https://www.fbi.gov/news/stories/fbi-partners-dismantle-qakbot-infrastructure-in-multinational-cyber-takedown https://www.theregister.com/2024/07/16/darkgate_malware/ https://research.checkpoint.com/2024/agent-tesla-targeting-united-states-and-australia/ https://research.checkpoint.com/2024/agent-tesla-targeting-united-states-and-australia/

ANÁLISE GLOBAL DE MALWARES MULTIFUNCIONAIS O malware multiuso inclui Remote Access Trojans (RATs), botnets e trojans bancários, categorias que são continuamente atualizadas à medida que os recursos do malware evoluem. As classificações de malware são dinâmicas e a atualização que permite funcionalidades adicionais pode exigir a reclassificação para uma nova categoria. A Check Point monitora continuamente esses desenvolvimentos, atualizando as classificações de malware e, ocasionalmente, redefinindo categorias inteiras para refletir melhor o cenário de ameaças em evolução.

O DarkGate serve como um excelente exemplo de malwaremultifacetado. Além de sua funcionalidade principal de RAT, baixador e roubo de informações, o DarkGate incorpora recursos de criptomineração, o que dificulta seu enquadramento nas malware categorias tradicionais do. No entanto, essas complexidades não são anomalias. Essas categorias continuam sendo essenciais para entender a principal intenção por trás de ataques específicos e identificar tendências abrangentes no ecossistema de criminosos cibernéticos.

A intensa atividade de aplicação da lei ao longo do ano reformulou significativamente o cenário de ameaças cibernéticas. Em maio de 2024, uma coalizão multinacional executou a Operação Endgame, visando a infraestrutura de botnet responsável pela distribuição de malware. Essa operação interrompeu a rede de distribuição malware vinculada a grupos como IcedID, Smokeloader, Pikabot, Bumblebee, SystemBC e Trickbot. A operação desmantelou mais de 100 servidores, apreendeu mais de 2.000 domínios e levou à prisão de quatro indivíduos — uma na Armênia e três na Ucrânia —, além de congelar ativos ilegais.

botnets desempenharam um papel central na distribuição de malware. Seu desmantelamento desencadeou mudanças significativas, incluindo uma mudança notável em direção aos infostealers, que geralmente são mais descentralizados e amplamente utilizados por criminosos cibernéticos individuais. Essa descentralização torna a atividade do infostealer mais difícil de ser atingida por meio de operações de fiscalização centralizadas.

Como resultado dessas interrupções, o mercado de malware multiuso mudou consideravelmente em comparação com o ano passado. O Qbot e o Emotet, que anteriormente dominavam o espaço, foram substituídos pelas famílias de malware FakeUpdates (40%), Androxgh0st (18%), Phorpiex (5%), Darkgate (5%) e Raspberry Robin.

Figura 12 - Malwares multiuso mais comuns em todo o mundo – 2024.

Figura 13 - Malwares multiuso mais comuns nas Américas – 2024.

Figura 14: Malwares multiuso mais comuns na EMEA – 2024. Figura 15: Malwares multiuso mais comuns na APAC – 2024.

FakeUpdates 42%

Outros 24%

Androxgh0st 19%

Darkgate

5% Raspberry Robin 5%

Phorpiex

5%

EMEA

FakeUpdates 28%Outros

33%

Androxgh0st 17%

Glupteba

7% Mirai9%

Phorpiex

7%

APAC APAC

AgentTesla 27% Formbook 21% Lumma 12%

Lokibot 6% SnakeKeylogger 5%

Other 30%

FakeUpdates 40%

Outros 26%

Androxgh0st 18%

Darkgate

5% Phorpiex

5% Mirai

6%

GLOBAL

FakeUpdates 48%

Outros 19%

Androxgh0st 19%

Darkgate

5%

Raspberry Robin 3%

Mirai

7%

AMÉRICAS

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202538

https://www.logpoint.com/en/blog/inside-darkgate/ https://www.logpoint.com/en/blog/inside-darkgate/ https://www.europol.europa.eu/media-press/newsroom/news/largest-ever-operation-against-botnets-hits-dropper-malware-ecosystem#empact https://www.fbi.gov/news/stories/fbi-partners-dismantle-qakbot-infrastructure-in-multinational-cyber-takedown http://www.cisa.gov/news-events/cybersecurity-advisories/aa24-016a http://www.cisa.gov/news-events/cybersecurity-advisories/aa24-016a https://research.checkpoint.com/2021/phorpiex-botnet-is-back-with-a-new-twizt-hijacking-hundreds-of-crypto-transactions/ https://research.checkpoint.com/2024/raspberry-robin-keeps-riding-the-wave-of-endless-1-days/ https://research.checkpoint.com/2024/raspberry-robin-keeps-riding-the-wave-of-endless-1-days/

Figura 16: Principais malwares de infostealer em todo o mundo – 2024.

Figura 17: Principais malwares de infostealer nas Américas – 2024.

Figura 18: Principais malwares de infostealer na EMEA – 2024. Figura 19: Principais malwares de infostealer na APAC – 2024.

AgentTesla 27%Outros30%

Formbook 21%Lumma

12%Lokibot 6%

SnakeKeylogger

5%

EMEA

AgentTesla 15%

Formbook 16%

Amadey

6%

Ramnit 9%

Lumma 11%

Outros 42%

APAC

AgentTesla 29%

Formbook 18%Lumma

12% Lokibot 4%

Ramnit 4%

Outros 33%

GLOBAL

AgentTesla 43%

Outros 24%

Formbook 15%

Lumma 11%

Ramnit 2% Amadey 4%

AMERICAS

ANÁLISE GLOBAL DO MALWARE INFOSTEALER Em 2024, o cenário do malware infostealer continuou a ser dominado por ameaças previamente conhecidas e estabelecidas, como o AgentTesla, que foi responsável por 29% de todas as detecções, o Formbook por 18% e o Lumma por 12% das detecções. Apesar da ausência de novos participantes significativos, ainda houve um aumento de 58% nas tentativas de infecção por infostealer em comparação com o ano anterior, e há uma combinação de vários motivos possíveis que podem explicar isso.

Os canais tradicionais de distribuição de malware foram interrompidos por operações de aplicação da lei, como a Operação Endgame em maio de 2024, que teve como alvo grandes botnets como IcedID, Smokeloader e Trickbot, desmantelando mais de 100 servidores e apreendendo mais de 2.000 domínios. Os criminosos cibernéticos podem estar se voltando para os infostealers como uma alternativa. Além disso, o amadurecimento do ecossistema de criminosos cibernéticos aumentou a demanda por dados coletados por infostealers, comumente chamados de “logs”. Esses logs, que contêm informações confidenciais, como credenciais e dados pessoais, são vendidos em mercados clandestinos para outros criminosos cibernéticos que buscam explorar essas informações.

Como resultado, os infostealers estão desempenhando um papel cada vez mais importante no cenário de ameaças em evolução. Uma análise abrangente dessas tendências é fornecida nos capítulos subsequentes.

O Styx Stealer, investigado pela Check Point Research, é um novo infostealer que apareceu este ano. O Styx é derivado do Phemedrone Stealer e foi projetado para exfiltrar informações confidenciais, como senhas salvas, cookies, dados de preenchimento automático de vários navegadores, detalhes de carteiras de criptomoedas e dados de sessão de plataformas de mensagens como Telegram e Discord. Ele também coleta informações do sistema, incluindo especificações de hardware e endereços IP externos, e pode capturar imagens de tela para avaliar o ambiente antes de executar sua carga útil. Notavelmente, o Styx Stealer incorpora recursos como inicialização automática, monitoramento da área de transferência, cripto- clipping, evasão aprimorada de sandbox e técnicas anti-análise. Ao contrário de seu antecessor, que estava disponível gratuitamente, o Styx Stealer é vendido por meio de um modelo de assinatura, com preços que variam de US$ 75 para uma licença mensal a US$ 350 para uma assinatura vitalícia.

EMEA APAC

GLOBAL AMÉRICAS

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202539

https://research.checkpoint.com/2024/agent-tesla-targeting-united-states-and-australia/ https://research.checkpoint.com/2024/agent-tesla-targeting-united-states-and-australia/ https://www.fbi.gov/news/press-releases/operation-endgame-coordinated-worldwide-law-enforcement-action-against-network-of-cybercriminals https://www.fbi.gov/news/press-releases/operation-endgame-coordinated-worldwide-law-enforcement-action-against-network-of-cybercriminals https://research.checkpoint.com/2024/unmasking-styx-stealer-how-a-hackers-slip-led-to-an-intelligence-treasure-trove/

Figura 20: Principais malwares de criptomineração em todo o mundo – 2024.

Figura 21: Principais malwares de criptomineração nas Américas – 2024.

Figura 22: Principais malwares de criptomineração na EMEA – 2024. Figura 23: Principais malwares de criptomineração na APAC – 2024.

LemonDuck 41%

Kinsing 35%

Outros 11%

Lucifer 3%

Wannamine 5% RedTail 5% LemonDuck

58%Wannamine 29%

Kinsing 3%

Outros 5%

Lucifer 2%RedTail

2%

Lucifer 2%

RedTail 5%

LemonDuck 46%

Wannamine 17%

Kinsing 15%

Outros 16%

LemonDuck 42%

Kinsing 19%

RedTail 14%

Wannamine 9%

Lucifer 3% Outros13%

ANÁLISE GLOBAL DE CRIPTOMINERADORES Em 2024, o setor de criptomoedas passou por desenvolvimentos regulatórios e de mercado significativos, resultando em um aumento. O Bitcoin ultrapassou a marca de US$ 100.000 em dezembro e atingiu o recorde histórico de US$ 103.649. No entanto, o número de ataques de criptomineração diminuiu, passando de um impacto de 9% das corporações em 2023 para apenas 2%.

Os mineradores ilegais de criptomoedas se concentram na Monero (XMR) devido a seus robustos recursos de privacidade, que tornam as transações praticamente impossíveis de serem rastreadas, bem como sua mineração favorável à Unidade de Processamento Central (CPU) e seus requisitos computacionais mais baixos. No entanto, o valor da Monero permaneceu relativamente estagnado ao longo do ano, enquanto sua dificuldade de mineração (esforço computacional necessário para minerar a Monero) quase dobrou de uma média de 260G em janeiro para quase 450G em dezembro. O aumento acentuado na dificuldade reduziu drasticamente a lucratividade da mineração e muitas operações ilegais de criptomineração foram reduzidas, levando a um declínio nos ataques de criptomineração.

Em 2024, o LemonDuck continuou sendo uma das cepas de malware de criptomineração mais prevalentes e foi implantado em 46% de todas as tentativas de ataques de criptomineração. Descoberto inicialmente em 2018, o LemonDuck evoluiu de um simples minerador de criptografia para um malware altamente sofisticado, modular e multiplataforma com recursos que agora incluem roubo de credenciais, autopropagação e operações de mineração sem arquivo e na memória. Esses recursos adicionais o tornam versátil e difícil de detectar. Atividades recentes mostram que os operadores do LemonDuck estão explorando ativamente a vulnerabilidade do Server Message Block (SMB), especificamente a exploração do EternalBlue, para se infiltrar nos sistemas Windows. As campanhas do LemonDuck usam uma variedade de vetores de ataque, incluindo e-mails de phishing com anexos maliciosos, ataques de força bruta direcionados a RDP e SSH, unidades USB infectadas contendo arquivos .LNK e outras técnicas de infiltração.

EMEA APAC

GLOBAL AMÉRICAS

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202540

https://www.coinwarz.com/mining/monero/difficulty-chart https://notes.netbytesec.com/2024/10/lemonduck-unleashes-cryptomining.html

Figura 24: Principais malwares móveis em todo o mundo – 2024. Figura 25: Principais malwares móveis nas Américas – 2024.

Figura 26: Principais malwares móveis na EMEA – 2024. Figura 27: Principais malwares móveis na APAC – 2024.

Joker 24%

Anubis 13%

Necro 12%AhMyth8%

Outros 38%

Hydra 5%

Joker 25%

Necro 22%

Anubis 10%

AhMyth

7%

Outros 33%

Hiddad 3%

Joker 23%

Necro 19%

Anubis 12%

AhMyth 9%

Outros 34%

Hiddad 4%

Necro 27%

Joker 15%Anubis

10% AhMyth12%

Outros 28%

Hiddad 7%

ANÁLISE GLOBAL DE MALWARES MÓVEIS Em 2024, mais de 60% do tráfego global da Internet foi originado de dispositivos móveis. Os dados confidenciais armazenados nesses dispositivos são muito procurados, não apenas por criminosos cibernéticos que buscam ganhos financeiros, mas também por agentes patrocinados pelo Estado envolvidos em espionagem e coleta de informações.

Rafel RAT, um trojan de acesso remoto de código aberto para Android, é amplamente utilizado para fins de espionagem, conforme revelado neste relatório da Check Point Research. Nossa investigação descobriu que ele foi implantado em aproximadamente 120 campanhas maliciosas distintas, muitas das quais direcionadas a organizações de alto nível, incluindo entidades do setor militar. O Rafel RAT permite que os agentes de ameaças exfiltrem dados confidenciais, listas de contatos e mensagens de autenticação de dois fatores (2FA), obtenham acesso a contas e contornem mecanismos multifatoriais de autenticação. Notavelmente, o grupo de espionagem APT-C-35, também conhecido como DoNot Team, foi observado utilizando o Rafel RAT em suas operações, o que destaca a adaptabilidade e a eficácia do malware em uma gama diversificada de perfis e objetivos de agentes de ameaças.

O malware móvel mais prevalente em 2024 (23%) foi o Joker, um notório malware que visa o dispositivo Android desde 2017. O principal objetivo do Joker é inscrever secretamente os usuários em serviços premium, simulando cliques do usuário e interceptando mensagens SMS e notificações. Um caso notável envolveu uma variante do Joker incorporada no aplicativo Beauty Camera na Google Play Store, que obteve mais de 100.000 downloads. Embora o aplicativo parecesse legítimo, ele baixava secretamente recursos adicionais de servidores de comando e controle (C2) remotos, permitindo outras atividades mal-intencionadas.

O aumento do Necro (19%) entre os três principais aplicativos móveis malware em todas as regiões não é surpreendente. Identificado pela primeira vez em 2019, o Necro é um depositor de malware projetado para baixar e executar cargas úteis adicionais. Recentemente, o Necro foi distribuído por meio de dois aplicativos maliciosos na Google Play Store, com um total de 11 milhões de downloads. Além do Google Play, o Necro também foi identificado em repositórios não oficiais, incorporado em aplicativos e jogos populares como WhatsApp, Minecraft, Stumble Guys e outros.

Duas outras ameaças móveis proeminentes, Anubis e AhMyth, ainda são amplamente utilizadas devido ao seu código-fonte disponível publicamente. O Anubis, originalmente desenvolvido como um Trojan bancário, evoluiu para incluir a funcionalidade de Trojan de acesso remoto (RAT), coleta de informações digitadas, gravação de áudio e até mesmo recursos semelhantes a ransomware. Sua versatilidade o torna a ferramenta preferida dos agentes de ameaças que visam instituições financeiras. O AhMyth, inicialmente criado como um projeto educacional e tornado público no GitHub, foi integrado a campanhas maliciosas.

EMEA APAC

GLOBAL AMÉRICAS

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202541

https://www.statista.com/statistics/306528/share-of-mobile-internet-traffic-in-global-regions/ https://research.checkpoint.com/2024/rafel-rat-android-malware-from-espionage-to-ransomware-operations/ https://cert.pl/en/posts/2024/10/analiza-joker/ https://securelist.com/necro-trojan-is-back-on-google-play/113881/

Em termos de distribuição geográfica, 50% das empresas afetadas este ano estão nos Estados Unidos, seguidas pelo Reino Unido com 6%, Canadá com 5% e Alemanha e Itália com 3% cada.

No entanto, quando ajustado para o tamanho da população, a imagem muda. Embora os EUA continuem estatisticamente sendo o país mais visado, as diferenças entre os países se tornam menos pronunciadas. Muitos países industrializados contaram entre 2 e 6 vítimas corporativas por 1 milhão de habitantes, destacando uma exposição global mais ampla a ataques de ransomware.

No modelo RaaS (ransomware como um serviço), os afiliados selecionam suas vítimas de forma independente, o que leva a uma distribuição geográfica das vítimas que reflete tendências mais amplas do ecossistema e não as preferências do operador do RaaS. Os operadores podem impor restrições, como proibir ataques a antigas repúblicas soviéticas ou organizações sem fins lucrativos ou a pessoas envolvidas na área da saúde. No entanto, alguns grupos demonstram um foco geográfico mais distinto. Por exemplo, o grupo de ransomware conhecido como “RA Group” visa desproporcionalmente a Alemanha, onde mais de 20% de suas vítimas publicadas estão localizadas, enquanto o KillSec se concentra fortemente na Índia, com 30% de suas vítimas localizadas lá.

Uma análise da média global de ataques semanais por organização por setor (Figura 3) mostra que os setores de educação, governo e saúde são os alvos mais frequentes. No entanto, analisando especificamente a extorsão de ransomware, de acordo com os dados da DLS, a manufatura surge como o setor mais afetado, enquanto o governo e a educação ocupam posições inferiores na hierarquia de vítimas. Essa discrepância provavelmente reflete diferenças

com afiliados. Embora a LockBit ainda pareça ser o segundo agente de ransomware mais prolífico em 2024, a maioria de suas postagens de vítimas ocorreu no primeiro semestre do ano. Nos últimos meses de 2024, a LockBit registrou menos de cinco vítimas por mês. No entanto, na última semana de 2024, o grupo anunciou uma nova versão, o LockBit 4.0. Só o tempo dirá se isso marca um ressurgimento da organização criminosa. (Mais detalhes estão disponíveis no capítulo - 03)

O declínio desses dois grandes grupos criminosos reformulou o cenário do ransomware. Há uma maior fragmentação no ecossistema, pois vários grupos menores agora são responsáveis por uma parcela maior do total de vítimas anuais. Embora os 10 grupos mais ativos tenham sido responsáveis por mais de 66% de todas as vítimas postadas em 2023, sua participação combinada caiu para apenas 51% em 2024. A ascensão do RansomHub como o principal grupo de dupla extorsão pode ser atribuída ao fato de ele ter atraído com sucesso muitos ex-filiados do LockBit e do ALPHV que não têm capacidade ou optam por não operar de forma independente.

RANSOMWARE Esta seção apresenta dados e percepções extraídos de mais de 140 sites de vazamentos de dados (DLS) de ransomware operados por mais de 90 grupos de ransomware de dupla extorsão. Os detalhes de mais de 5.200 empresas foram publicados em sites de vazamento de dados por cibercriminosos que usam essas plataformas para aumentar a pressão sobre organizações que se recusam a cumprir os pedidos de resgate. As empresas que pagam o resgate geralmente não aparecem no DLS e, portanto, são excluídas desse conjunto de dados, introduzindo um viés inerente. No entanto, as informações compartilhadas nesses DLS criminosos oferecem perspectivas valiosas sobre o cenário do ransomware. Os dados analisados aqui abrangem o período de janeiro a dezembro de 2024.

Dois dos agentes de ransomware mais dominantes em 2023

tornaram-se inativos em 2024. O LockBit, que foi responsável por 21% das vítimas em 2023, e o ALPHV, responsável por 9%, cessaram ou reduziram significativamente suas postagens de vítimas. O declínio da LockBit é atribuído à operação de aplicação da lei Cronos, enquanto a inatividade da ALPHV foi resultado de uma combinação de ações de aplicação da lei e disputas internas

Figura 28 - Grupos de dupla extorsão de ransomware, por porcentagem do total de vítimas publicadas em 2024.*

Resto do mundo 49%

Estados Unidos 10%

Espanha 10%

Austrália 6% Índia 5%

França 4%

Brasil 4%

Itália 3%

Alemanha 3%

Canadá 3%

Reino Unido 3%

Figura 36: Vítimas por país, conforme relatado em sites de ocorrências – 2024.

Estados Unidos 50%

Resto do mundo 23%

Reino Unido 6%

Canadá 5%

Alemanha 3%

Itália 3%

Brasil 2%

França 2%

Índia 2%

Austrália 2%

Espanha 2%

Figura 30 - Vítimas corporativas de ransomware a cada 1 milhão de habitantes, por país.

Noruega

EAU

Singapura Nova Zelândia

Suécia

Bélgica

Austrália

Reino Unido Suíça

Canadá

Estados Unidos

2.9

7.5

6.4

4.4

4.1

4.1

4.1

3.8

3.5

3.4

3.2

* Os dados de DLS abrangem o período de 1º de janeiro de 2024 a 23 de dezembro de 2024.

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202542

https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-242a https://www.europol.europa.eu/media-press/newsroom/news/law-enforcement-disrupt-worlds-biggest-ransomware-operation

específicas do setor em sua disposição de atender aos pedidos de resgate, já que as organizações governamentais e educacionais geralmente estão menos inclinadas a pagar, o que as torna alvos menos atraentes para os agentes de ransomware.

Em 2024, os agentes de ransomware visaram cada vez mais os provedores de serviços médicos e de saúde, tornando esse setor o segundo mais visado.

Mais detalhes sobre os desdobramentos de ransomware deste ano podem ser encontrados em uma seção.

Figura 31: Distribuição por setores de vítimas de ransomware, conforme relatado em sites de ocorrências – 2024.

Fabricação Industrial

Saúde & Médica

Bens de consumo & Serviços

Serviços corporativos

Serviços financeiros

Construção & Engenharia

Educação

Governo

Transporte & Logística

Software

10%

22%

9%

7%

7%

6%

5%

4%

4%

3%

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202543

00 O ESTADO DA CIBERSEGURANÇA EM 2025

VULNERABILIDADES GLOBAIS SOFISTICADAS 55

A lista a seguir das principais vulnerabilidades é baseada em dados coletados pelos Sistemas de prevenção de intrusão (Intrusion Prevention System, IPS) da Check Point e detalha algumas das técnicas de ataque e exploits mais proeminentes e interessantes observadas pela Check Point Research (CP<R>) em 2024.

INJEÇÃO DE ARGUMENTO CGI EM PHP (CVE-2024-4577) A CVE-2024-4577 é uma vulnerabilidade crítica de injeção de comando no PHP que afeta especificamente os sistemas Windows que executam o Apache com PHP-CGI e foi explorada um dia após seu lançamento. Notavelmente, a vulnerabilidade afeta principalmente as instalações do Windows que usam os idiomas chinês e japonês, embora outras instalações também sejam visadas. Divulgado como parte de um patch lançado em junho de 2024, o problema decorre do comportamento “Best-Fit” do Windows durante as conversões de codificação de caracteres, o que pode fazer com que o módulo CGI do PHP interprete erroneamente determinados caracteres como opções do PHP. Isso permite que usuários não autenticados injetem argumentos no binário do PHP, levando à execução remota de códigos ou à exposição de dados confidenciais.

Após sua divulgação, a vulnerabilidade foi rapidamente aproveitada por vários agentes mal-intencionados, inclusive para ransomware implantação, e observamos que ela afetou mais de 25% da rede corporativa. A vulnerabilidade também foi usada para implantar malware, como o backdoor Msupedge, o Gh0st RAT e os mineradores de criptografia RedTail e o XMRig

INJEÇÃO DE COMANDO IVANTI (CVE-2024-21887) No início de 2024, uma vulnerabilidade crítica de injeção de comando, CVE-2024-21887, foi descoberta nos gateways Connect Secure e Policy Secure da Ivanti. Essa falha permite que os invasores usem privilégios administrativos para executar comandos arbitrários em um sistema comprometido. Quando combinado com o CVE-2023-46805, uma vulnerabilidade de desvio de autenticação, os invasores podem obter execução remota de código sem autenticação. Essas vulnerabilidades foram ativamente exploradas por hackers patrocinados pelo Estado chinês para implantar shells da Web, roubar dados confidenciais e estabelecer persistência em dispositivos comprometidos.

IGNORAR A AUTENTICAÇÃO VMWARE ESXI (CVE-2024-37085) Em junho de 2024, uma vulnerabilidade crítica de desvio de autenticação foi divulgada no hipervisor ESXi da Broadcom VMware. Essa falha afeta a integração do ESXi com o Active Directory (AD) para gerenciamento de usuários. Especificamente, quando um host ESXi é associado a um domínio do AD, ele concede automaticamente todos os privilégios administrativos aos membros de um grupo de domínio chamado "ESX Admins". Notavelmente, esse grupo não existe por padrão no AD e o ESXi não verifica sua existência na integração do domínio. Portanto, qualquer usuário do domínio com permissões para criar grupos pode estabelecer e atribuir usuários a um grupo "ESX Admins", obtendo assim acesso administrativo total ao host ESXi. Essa vulnerabilidade foi ativamente explorada por vários operadores de ransomware, incluindo Storm-0506, Storm-1175, Octo Tempest e Manatee Tempest. Em alguns casos, a técnica pós-comprometimento observada resultou na implantação do Akira e do Black Basta ransomware.

Uma análise dos dados de ataque revela que a vulnerabilidade divulgada em 2024 e 2023 foi responsável por 4% e 15%, respectivamente, de todas as tentativas de exploração. As vulnerabilidades recentes são cada vez mais graves, mais fáceis de explorar e adotadas pelos agentes de ameaças mais rapidamente do que no passado. No entanto, os agentes de ameaças continuam a visar vulnerabilidades mais antigas, com mais de 57% das tentativas de exploração focadas em CVEs publicados em 2020 ou antes. Isso ressalta um problema persistente em que os sistemas permanecem sem patches por anos, mesmo depois que os patches estão disponíveis.

Anteriormente

2014

2015

2016

2017

2018

2019

2020

2021

2022

2023

2024 4%

15%

12%

12%

9%

6%

7%

5%

6%

2%

7%

15%

Figura 1 - Porcentagem de ataques que utilizam a vulnerabilidade por ano de divulgação em 2024.

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202545

https://www.akamai.com/blog/security-research/2024/jul/2024-php-exploit-cve-one-day-after-disclosure https://www.wiz.io/blog/critical-rce-php-cgi-vulnerability https://www.cisa.gov/news-events/alerts/2024/01/10/ivanti-releases-security-update-connect-secure-and-policy-secure-gateways https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24505 https://www.microsoft.com/en-us/security/blog/2024/07/29/ransomware-operators-exploit-esxi-hypervisor-vulnerability-for-mass-encryption/

PERSPECTIVA DE RESPOSTAS A INCIDENTES

00 66 O ESTADO DA CIBERSEGURANÇA EM 2025

Esta seção baseia-se na experiência e nos dados coletados de uma ampla gama de casos de investigação e mitigação de incidentes da Equipe de Resposta a Incidentes da Check Point (CPIRT). Diferentemente das outras seções, os dados apresentados aqui são de estudos de caso de eventos reais que acionaram relatórios de incidentes, não se limitando aos usuários de produtos da Check Point. A maioria dos ataques comprometeu seus alvos e nos fornece uma perspectiva diferente do cenário de ameaças e dos desafios práticos enfrentados pelas organizações durante violações ativas.

GATILHOS DE INCIDENTES Os clientes entram em contato com a equipe de Resposta a Incidentes da Check Point devido a um ou mais gatilhos originados de várias fontes, como alertas de segurança automatizados, relatórios de usuários, interrupções de serviço ou inteligência coletada de terceiros, fornecedores ou agências governamentais. Coletar e analisar esses gatilhos nos ajuda a entender como as ameaças são descobertas, quais indicações de ameaças têm maior probabilidade de provocar ações imediatas e como a velocidade e a eficácia das respostas a incidentes podem ser aprimoradas.

O objetivo principal das equipes de segurança é responder o mais rápido possível antes que um ataque atinja o estágio de impacto envolvendo interrupção do serviço ou roubo de dados. 2024 marca a primeira vez que os alertas de segurança se tornam o principal gatilho para incidentes, superando as interrupções no serviço como o principal indicador para iniciar a resposta a incidentes.

35%

1%

1%

1%

3%

26%

13%

8%

6%

5%

Security alert

Service disruption

Proactive activity

User Report

Government notification

Vendor notification

Financial details modification

Extortion message

Resource spike

Defacement

Figura 1 - Gatilhos mais comuns para entrar em contato com a Resposta a Incidentes.

Dos casos em que a CPIRT foi contatada este ano, 35% foram acionados por um alerta de um produto de segurança, em comparação com apenas 20% dos nossos casos do ano anterior. Essa mudança indica um aumento significativo na experiência das equipes de segurança e avanços nas tecnologias de detecção e prevenção. As organizações estão cada vez mais aptas a reconhecer alertas de sistemas de segurança e identificar violações antes que elas se transformem em interrupções de serviço.

Por exemplo, o CPIRT testemunhou várias tentativas de ataques de ransomware que foram detectadas após uma instalação em massa de ferramentas de acesso remoto, como Any Desk e Screen Connect, mas antes do início do estágio de criptografia. O CPIRT viu vários casos este ano em que as equipes de segurança responderam rapidamente aos alertas de instalação e conseguiram mitigar o ataque antes que o criptografador de ransomware fosse implantado.

Outro aumento notável é no número de alertas provenientes de investigações proativas das equipes e da Equipe de Resposta a Emergências Cibernéticas (CERT) ou de notificações governamentais. Isso reflete a crescente conscientização sobre anomalias de comunicação e investigações ativas sobre fontes de inteligência e da Dark Web e indica medidas de cibersegurança aprimoradas e cada vez mais maduras em todo o setor.

Ao se concentrar na detecção precoce por meio de alertas de segurança e medidas proativas, as organizações podem responder com mais eficiência às ameaças e reduzir o impacto dos incidentes cibernéticos.

ALERTAS DE SEGURANÇA As organizações podem cada vez mais identificar ameaças antes que elas evoluam para os estágios finais de ataque. Analisar os diferentes tipos de alertas que levam as equipes de segurança a iniciar seus processos de resposta a incidentes fornece percepções valiosas sobre como as equipes devem ser treinadas e operar nessas situações.

Reconhecimento

Desenvolvimento de recurso

Acesso inicial

Execução

Persistência

Escalonamento de privilégios

Evasão de defesa

Acesso à credencial

Movimentação lateral

Comando e controle

Exfiltração

Impacto

1% 1%

13% 13%

4% 4%

3%

3%

18%

18%

1% 12%

Figura 2 – Táticas de ataque em alertas de segurança que acionam respostas a incidentes, ordenadas pela MITRE ATT & CK Matrix.

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202547

Uma análise dos alertas de segurança acionados pelas táticas MITRE ATT & CK revela que a comunicação de Comando e Controle (C2) é o gatilho mais comum para a resposta a incidentes. A atividade mal-intencionada relacionada à comunicação C2 pode ser detectada com frequência por meios relativamente simples, como indicadores de comprometimento (IoCs), assinaturas de rede suspeitas ou padrões de tráfego de saída incomuns. Além disso, as soluções de segurança que detectam essas atividades, como o Sistema de Prevenção de Intrusão (Intrusion Prevention System, IPS) e os módulos Anti-Bot/Anti-Virus (AB/AV), são amplamente implementadas em todos os setores. Essas ferramentas aumentam a visibilidade das ações de C2 e contribuem para a alta taxa de detecção neste estágio.

O próximo maior alerta tático que estimula o envolvimento do IRT é o acesso à credencial. Embora essa tática possa não gerar o maior volume de alertas de produtos de segurança, em muitos dos casos de CPIRT analisados, o acesso por credenciais geralmente é a tática que leva as equipes de segurança a transformar um alerta em uma resposta completa a um incidente. As tentativas de acesso à credencial incluem o uso de ferramentas como o Mimikatz para despejar o processo Lssas.exe e extrair o arquivo Ntds.dit de um DC. Esses alertas raramente são ignorados ou justificados

ESTUDO DE CASO: RESPOSTA RÁPIDA A UMA AMEAÇA DE RANSOMWARE No início deste ano, a equipe de Detecção e Resposta Gerenciada (MDR) da Check Point alertou um cliente na América do Norte sobre uma possível ameaça de ransomware. Em poucos minutos, a equipe detectou a instalação do AnyDesk em vários dispositivos da organização. Os analistas identificaram rapidamente isso como um incidente de segurança e encaminharam o problema para a equipe de resposta a incidentes para iniciar os protocolos de mitigação e investigação.

A instalação rápida de ferramentas de controle remoto em vários dispositivos é uma tática, técnica e procedimento (TTP) conhecida dos operadores do ransomware. Dessa forma, a detecção dessa atividade desencadeou imediatamente uma reação rápida dos analistas experientes.

Nesse caso, foi descoberto que as ferramentas de controle remoto foram distribuídas por meio do Objeto de Política de Grupo (GPO). Ao examinar o controlador de domínio (DC), foi encontrado um binário de criptografia em uma pasta pública, pronto para ser implantado em todos os dispositivos do domínio.

Graças à resposta rápida dos analistas, a ameaça foi atenuada antes que o criptografador pudesse ser distribuído, evitando assim um ataque de ransomware potencialmente grave.

como comportamento legítimo do usuário. Por esse motivo, eles geralmente acionam ações imediatas e decisivas das equipes de segurança.

INTERRUPÇÕES DE SERVIÇO Como nos anos anteriores, as interrupções no serviço continuam sendo um gatilho importante para a resposta a incidentes. As interrupções de serviço incluem ataques como ransomware, em que a interrupção do serviço é causada por criptografia e torna os recursos essenciais inacessíveis; bloqueio de tráfego, que impede comunicações legítimas; e ataques DDoS que sobrecarregam a capacidade do sistema, tornando indisponíveis os serviços legítimos.

ALERTAS DE AGÊNCIAS GOVERNAMENTAIS E PROVEDORES DE SEGURANÇA

Grande tráfego de saída

Inteligência da dark web

Comunicação com IPs maliciosos

Figura 3 - As 3 principais causas de alertas governamentais e de fornecedores de segurança.

Em 2024, os gatilhos de incidentes decorrentes de alertas emitidos por agências governamentais e fornecedores de segurança aumentaram.

Muitos desses alertas são baseados no tráfego de rede vinculado a endereços IP mal-intencionados, geralmente identificados como indicadores de comprometimento (IoCs) associados a agentes de ameaças específicos. Um monitoramento de tráfego semelhante também pode gerar alertas sobre transferências de dados de saída invulgarmente grandes para destinos suspeitos, geralmente indicando as atividades de exfiltração dos agentes de ameaças.

O monitoramento da Dark Web por agências governamentais e fornecedores de segurança é outra fonte crítica de informações que leva a possíveis alertas de segurança. Isso inclui informações sobre credenciais vazadas ou dados confidenciais da empresa compartilhados em fóruns e mercados da Dark Web.

Esses alertas de terceiros servem como avisos precoces cruciais, permitindo que as organizações respondam proativamente à inteligência externa confiável antes que as ameaças aumentem. Como esses alertas vêm de entidades confiáveis e geralmente passam por uma análise profissional antes da emissão, eles são altamente confiáveis. Isso faz com que as organizações ajam rapidamente e iniciem investigações de incidentes. As organizações não devem depender exclusivamente de entidades externas e devem realizar regularmente um monitoramento proativo da Dark Web para facilitar a detecção precoce de violações.

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202548

ESTUDO DE CASO: RESPONDER A UM ALERTA DO CERT DO GOVERNO SOBRE EXFILTRAÇÃO DE DADOS Em outubro de 2024, um caso de CPIRT foi acionado por um alerta CERT do governo europeu, indicando que um endereço IP da organização estava transmitindo grandes quantidades de dados para um IP associado a atividades de comando e controle (C2). O endereço IP fornecido era o IP NAT externo da organização, o que levou a equipe SOC e a CPIRT a investigar os registros de firewall e DNS para identificar o dispositivo específico na rede responsável pela transmissão de dados.

A investigação revelou que o Controlador de Domínio (DC), que também era usado como servidor de arquivos, era a fonte da transmissão de dados. No servidor, o CPIRT descobriu ferramentas de arquivamento e uma instalação recente do FileZilla.

O CPIRT ajudou o cliente a determinar quais dados poderiam ter sido exfiltrados e conduziu uma investigação completa para identificar qualquer ponto fraco adicional que o agente de ameaça pudesse ter estabelecido dentro da organização.

RELATÓRIOS DE USUÁRIOS

Os relatórios de usuários fornecem uma fonte adicional para a detecção de ameaças, identificando atividades maliciosas que não são facilmente detectadas por outros mecanismos de segurança. À medida que os usuários se tornam mais preocupados com a segurança, isso fornece uma camada adicional à estratégia de defesa da organização. Em 2024, a maioria dos relatórios de usuários era de atividades maliciosas evidentes, como a criptografia de arquivos resultante de ataques de ransomware. No entanto, os usuários relataram cada vez mais tentativas suspeitas de autenticação multifatorial (MFA) que não foram iniciadas por eles. As denúncias de e-mails suspeitos e tentativas de phishing também levaram frequentemente à detecção de atividades maliciosas.

CAÇA PROATIVA A AMEAÇAS

No ano passado, houve um aumento de incidentes desencadeados por atividades proativas e caça a ameaças lideradas por equipes de segurança, em vez de respostas a alertas do sistema. Esses incidentes geralmente se originam do exame de logs do sistema, do comportamento do usuário e do tráfego de rede não característico do ambiente. As equipes de segurança que são especialistas em sua própria topologia de rede podem identificar mais facilmente as atividades suspeitas do que os produtos de segurança externos.

27%

27%

27%

7%Solicitação financeira suspeita

E-mails suspeitos

Arquivos criptografados

Solicitação suspeita de autenticação multifatorial (MFA)

Figura 4 - Principais causas que os usuários relatam incidentes.

6%

24%

53%

Exposição de credenciais

Comunicação com IPs suspeitos

Falha na autenticação

Figura 5 - Descobertas em atividades proativas que desencadeiam incidentes.

As principais áreas nas quais se concentrar proativamente incluem o comportamento anormal de “usuários administradores” e padrões de tráfego suspeitos que não se alinham ao fluxo operacional regular, como tráfego de e para países com os quais a organização não faz negócios.

Ao pesquisar proativamente indicadores ocultos de comprometimento, as organizações podem detectar e mitigar ameaças que evitam as ferramentas automatizadas de detecção, reforçando uma abordagem de segurança em camadas.

PRINCIPAIS TIPOS DE ATAQUE Em 2024, o ransomware continua a dominar o cenário de ameaças de cibersegurança. A família ransomware mais prevalente em casos de resposta a incidentes este ano é o LockBit, seguida pelo Akira e pelo Black Basta.

Outros tipos de ameaças notáveis são o Business Email Compromise, BEC e os ataques DDOS. Vinte e cinco por cento dos casos de ataques do CPIRT foram identificados e evitados em estágios iniciais, dificultando a determinação do tipo de ataque.

Figura 6 - Principais categorias de ataque nos casos do CPIRT 2024.

Ransomware

53%

BEC

10%

DDOS

8%

Wiper

4%

Interrompido na fase preliminar

25%

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202549

Em 2024, as experiências e os dados coletados pela Equipe de Resposta a Incidentes da Check Point demonstram que as organizações que priorizam os alertas de segurança e aproveitam as informações dos dados estão mais bem equipadas para frustrar as ameaças antes que elas aumentem, protegendo, em última análise, seus ativos críticos.

TIM OTIS

Chefe de Resposta a Incidentes & Detecção e Resposta Gerenciadas

RANSOMWARE ESXI Em 2024, 11% dos ataques de ransomware investigados visavam especificamente os servidores VMware ESXi, que são ambientes virtualizados centrais para muitas infraestruturas empresariais. Ao se concentrar nos servidores ESXi, os invasores podem tornar inacessíveis vários servidores essenciais comprometendo um único dispositivo. Essa estratégia permite que eles causem uma interrupção substancial sem infectar toda a rede ou a base de servidores com malware de criptografia. Os grupos de ransomware que têm como alvo os servidores VMware ESXi incluem o grupo Akira ransomware, que vem explorando duas vulnerabilidades de execução remota de código (RCE) no ESXi: CVE-2023-20867 e CVE- 2024-37085.

11% DOS ATAQUES DE RANSOMWARE INVESTIGADOS VISAVAM ESPECIFICAMENTE OS SERVIDORES VMWARE ESXI, QUE SÃO AMBIENTES VIRTUALIZADOS CENTRAIS PARA MUITAS INFRAESTRUTURAS EMPRESARIAIS.

CONCLUSÃO As descobertas do CPIRT 2024 mostram um progresso encorajador na detecção precoce de ameaças e nas medidas proativas de segurança entre as organizações. Os alertas de segurança superaram as interrupções no serviço como o principal gatilho para a resposta a incidentes, e há um maior engajamento na busca proativa de ameaças e na conscientização do usuário. Essas percepções enfatizam a necessidade de vigilância contínua, refinamento dos recursos de detecção e colaboração com fontes externas de inteligência para fortalecer a resiliência da cibersegurança.

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202550

PREVISÕES DO SETOR PARA 2025: O FUTURO DA SEGURANÇA CIBERNÉTICA

00 77 O ESTADO DA CIBERSEGURANÇA EM 2025

As plataformas em nuvem se tornam a espinha dorsal da cibersegurança As plataformas baseadas em nuvem estão servindo cada vez mais como base para a cibersegurança, com a integração orientada por IA se mostrando mais eficaz do que as ferramentas autônomas. Ao reunir várias operações de segurança, essas plataformas reduzem a complexidade, permitindo que as organizações enfrentem as ameaças e a vulnerabilidade na nuvem com maior eficiência e eficácia. Soluções como CNAPP, ASPM e DSPM se fundem para criar pacotes abrangentes de gerenciamento de postura de segurança (SPM).

À medida que surgirem novas ferramentas, como o aplicativo e o Data SPM, elas provavelmente serão integradas a uma Plataforma de Proteção de Aplicativos Nativos (CNAPP) mais ampla, o que pode levar ao desenvolvimento do que poderia ser chamado de Gerenciamento de Postura de Segurança Estendida (XSPM). A integração do Attack Surface Management nessa nova categoria ilustra como essas plataformas podem oferecer mais valor do que um simples conjunto de soluções pontuais, mudando fundamentalmente a forma como as organizações lidam com a vulnerabilidade.

Riscos crescentes de uso indevido de IA e violações de dados À medida que as tecnologias de IA se integram aos ambientes pessoais e de trabalho, aumentam as preocupações com seu uso indevido. Este ano, o potencial de violações de dados causadas por funcionários que inadvertidamente compartilham informações confidenciais com plataformas de IA, como o ChatGPT ou o Gemini do Google, é um risco significativo. Os funcionários podem inserir informações confidenciais, como informações financeiras, para gerar relatórios ou análises, muitas vezes sem perceber que pessoas não autorizadas podem armazenar e acessar esses dados. O estabelecimento de controles mais rígidos sobre as ferramentas de IA nos sistemas de uma organização será fundamental para alcançar um equilíbrio entre o aumento da produtividade e a garantia da proteção da privacidade dos dados.

Crime financeiro alimentado por IA O ano de 2024 começou com manchetes informando sobre casos esporádicos, mas bem-sucedidos, de crimes financeiros movidos a IA generativa. Os criminosos cibernéticos reconheceram o potencial da GenAI e começaram a investir em sua integração em várias ferramentas tecnológicas, principalmente para métodos de desvio de Business Email Compromise, BEC (BEC) e Know Your Customer (KYC). Essas ameaças se tornarão mais prevalentes este ano, à medida que os cibercriminosos estão trabalhando ativamente para implementar o GenAI nesses serviços maliciosos.

Aumento dos ataques à cadeia de suprimentos em projetos de código aberto À medida que os projetos de código aberto ganham popularidade, eles se tornam alvos cada vez mais atraentes para agentes mal- intencionados que pretendem explorar secretamente a vulnerabilidade de softwares amplamente utilizados. Após a sofisticada operação plurianual que insere um backdoor no Linux XZ Utils, podemos esperar novas tentativas de ataque semelhantes e a descoberta de backdoors implantados anteriormente. Essa ameaça crescente destaca a necessidade urgente de medidas de segurança aprimoradas e maior vigilância dentro da comunidade de código aberto.

Descentralização dos ecossistemas de crimes cibernéticos Os recentes sucessos das autoridades policiais no combate às principais operações e botnets do ransomware levaram os agentes mal-intencionados a fazer a transição para redes, metodologias e operações menores e mais descentralizadas. Os grandes projetos de ransomware se reestruturaram em grupos menores, enquanto os ecossistemas orientados por infostealers surgiram como o principal meio de facilitar o acesso inicial. Essa descentralização exige que os defensores adaptem suas estratégias, destacando a importância de uma colaboração aprimorada e do compartilhamento de inteligência.

Aumento das demandas regulatórias e padrões mais rígidos para apólices de seguro cibernético As organizações enfrentarão uma pressão cada vez maior devido às novas regulamentações de cibersegurança, incluindo as regulamentações de IoT da UE, as regras de divulgação de cibersegurança da SEC, a Lei de Resiliência Operacional Digital (DORA) e a Diretiva NIS2. A conformidade com essas estruturas exigirá um investimento significativo de tempo e recursos para iniciativas como o desenvolvimento de políticas e novas tecnologias de segurança.

Embora essas regulamentações tenham como objetivo melhorar as medidas de segurança, elas também criam complexidades operacionais adicionais. Isso exige que as empresas dediquem mais atenção e esforço para atender a esses padrões. Além disso, prevê-se que as apólices de seguro cibernético se tornem mais rigorosas, com as seguradoras impondo controles mais rígidos e requisitos de conformidade como pré-requisitos para a cobertura. Isso intensificará ainda mais os desafios regulatórios que as organizações devem enfrentar.

A crescente lacuna de talentos em cibersegurança A escassez global de profissionais de cibersegurança representa um desafio significativo para as organizações que tentam se defender contra a crescente complexidade e o volume das ameaças cibernéticas. Embora as organizações invistam em produtos de segurança versáteis, a necessidade de especialistas mais qualificados para gerenciar e integrar essas ferramentas com eficácia resulta em uma abordagem de segurança fragmentada e ineficiente. A dependência de vários fornecedores e o conhecimento interno insuficiente expõem as organizações a ataques à medida que suas medidas de segurança se tornam cada vez mais difíceis de gerenciar e menos eficazes. As empresas terão que agilizar as operações de segurança e priorizar a capacitação da equipe para manter a resiliência.

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202552

RECOMENDAÇÕES DO CISO

00 88 O ESTADO DA CIBERSEGURANÇA EM 2025

Ao refletirmos sobre os incidentes de 2024, é essencial focar nos principais elementos que levaram ao sucesso dos atacantes e nas mitigações estratégicas que os defensores podem empregar para impedir tais ameaças. Esta introdução resume as percepções vitais obtidas e fornece recomendações práticas para os profissionais de cibersegurança. Essas diretrizes servem como uma estrutura prática para aprimorar as defesas e evitar os incidentes graves descritos neste relatório, abordando problemas e erros sistêmicos comuns que historicamente contribuíram para ciberataques.

JONATHAN FISCHBEIN

Check Point Software Global CISO EMEA & LATAM

1. Adotar uma abordagem multicamada em sua pilha de segurança As organizações devem implementar uma estratégia de segurança em várias camadas que inclua backups regulares dos dados, treinamento dos funcionários para conscientização sobre phishing e filtragem robusta de e-mails para atenuar o ransomware e os ladrões de informações. A utilização das ferramentas de detecção e resposta (EDR) do endpoint pode ajudar a identificar e isolar ameaças antecipadamente. Além disso, manter controles de acesso rígidos e empregar princípios de menor privilégio pode limitar possíveis danos causados por violações. Atualizar regularmente o software e os sistemas para corrigir a vulnerabilidade e realizar avaliações de segurança regulares e simulações de resposta a incidentes são essenciais para garantir a preparação contra ataques.

2. Priorizar soluções avançadas de segurança de nuvem As organizações devem priorizar a segurança de API, o gerenciamento de identidade e uma arquitetura de confiança zero para lidar com a vulnerabilidade da nuvem. Os fortes gateways de API e as avaliações regulares de segurança podem reduzir os riscos de troca de dados. A implementação do acesso com privilégios mínimos e da autenticação multifatorial é essencial para proteger os recursos. Um modelo de confiança zero aumenta a segurança, verificando os usuários e o dispositivo antes do acesso. As ferramentas de gerenciamento de postura de segurança de nuvem (CSPM) identificam e corrigem configurações incorretas, enquanto as plataformas de proteção de carga de trabalho de nuvem (CWPP) protegem as cargas de trabalho. Essas estratégias, em conjunto, ajudam a gerenciar os riscos da infraestrutura em nuvem de forma eficaz.

3. Aproveitar a IA para prevenção e detecção Aproveite o poder das tecnologias avançadas de inteligência artificial para aprimorar as estratégias de prevenção e detecção. Ao desenvolver sistemas robustos e orientados por IA, as organizações podem identificar e mitigar com eficácia as possíveis ameaças antes que elas aumentem. Essa abordagem proativa envolve a implementação de soluções automatizadas que aproveitam os recursos de IA para fornecer detecção oportuna e precisa de problemas em tempo real. Esses sistemas melhoram a segurança geral e simplificam os esforços de resposta, permitindo que as equipes ajam com rapidez e eficiência contra os desafios emergentes.

4. Obter visibilidade de 360 graus em toda a sua superfície de ataque Os criminosos exploram a vulnerabilidade das práticas de trazer seu próprio dispositivo e de aplicativos nativos, aumentando o risco

de violações devido a problemas como credenciais codificadas e autenticação fraca. Eles geralmente usam credenciais e ferramentas legítimas, confundindo a linha entre a atividade regular do usuário e as ações maliciosas. As organizações precisam entender o vínculo entre identidade, nuvem, endpoint e proteção de dados para identificar essas ameaças em vários sistemas. Com uma empresa média usando mais de 45 ferramentas de segurança, os silos de dados podem gerar lacunas de visibilidade. Uma plataforma de segurança unificada com recursos de IA aumenta a visibilidade e o controle, melhorando a detecção e a prevenção de violações e economizando tempo e dinheiro.

5. Desenvolver um programa de confiança do cliente para garantir a conformidade As organizações devem estabelecer um programa de confiança do cliente para garantir a conformidade no ambiente regulatório atual, que muda rapidamente. A implementação da automação para conformidade pode agilizar a adesão a normas rigorosas e reduzir o erro humano durante auditorias e relatórios. A priorização da soberania dos dados permite que as empresas mantenham o controle sobre informações confidenciais. Ao incorporar

a privacidade desde o design, as empresas podem proteger proativamente os dados dos clientes, aprimorar a segurança e ficar à frente das ameaças digitais. Essa abordagem promove uma sólida estrutura de conformidade que, em última análise, gera a confiança do cliente.

6. Implementar o programa de vulnerabilidade e gerenciamento de riscos O rápido surgimento de novas vulnerabilidades, especialmente ataques de dia zero, representa um desafio significativo para o gerenciamento de vulnerabilidades. Os dispositivos de borda, que geralmente são acessíveis ao público, estão especialmente em risco. Para gerenciar esses riscos de forma eficaz, é essencial avaliar seus níveis de ameaça e priorizá-los adequadamente, permitindo uma rápida aplicação de patches. Ativos externos e sistemas críticos devem ser o foco principal.

Além disso, o uso da inteligência de ameaça juntamente com o gerenciamento da superfície de ataque externa fornece uma visibilidade valiosa sobre como os adversários percebem suas

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202554

medidas de segurança. Com essa visão, você pode implementar estratégias de prevenção imediatas.

7. Escolher um fabricante de segurança em quem você confia Ao escolher um fabricante de segurança que incorpore a confiança digital, procure uma empresa com um histórico comprovado de práticas de segurança eficazes e baixas taxas de vulnerabilidade. Priorize fornecedores que garantam o lançamento imediato de patches, permitindo que os usuários lidem com possíveis ameaças rapidamente. Além disso, avalie suas estratégias de resposta a incidentes e o histórico de tratamento de violações.

8. Otimizar as operações de segurança Dada a escassez de pessoal especializado em cibersegurança, a IA é essencial para melhorar a eficiência, de modo que as equipes possam gerenciar melhor e priorizar o gerenciamento de ameaças. As ferramentas de IA podem automatizar tarefas repetitivas, minimizando o tempo gasto em tarefas como análise de eventos e solução de problemas com automação. Os profissionais de segurança podem se concentrar na inovação estratégica e em medidas proativas com processos simplificados.

9. Focar na resiliência e na resposta a incidentes As organizações devem priorizar a resiliência operacional à medida que enfrentam ameaças crescentes de ransomware e guerra cibernética geopolítica. Para fortalecer sua estratégia de TI, garanta que suas operações sejam efetivamente segregadas. Essa abordagem aprimorará sua resposta a incidentes no caso de um ataque. Além disso, avalie e atualize regularmente seus planos de recuperação de desastres para minimizar as interrupções causadas por ataques cibernéticos ou interrupções de TI.

A educação do usuário é fundamental para evitar infecções por malware. Os funcionários devem estar cientes das fontes de arquivos e e-mails e se podem confiar nos remetentes. Os métodos mais comuns de infecção por ransomware ainda são e-mails de phishing e downloads maliciosos da Web. O aumento da conscientização do usuário geralmente evita ataques. Eduque seus usuários e incentive- os a denunciar imediatamente qualquer coisa incomum ou suspeita às equipes de segurança.

A ascensão dos infostealers

TENDÊNCIAS DE CIBERSEGURANÇA 03

EVENTOS DE CIBERSEGURANÇA DE 202402

INTRODUÇÃO01

PREVISÕES DO SETOR PARA 202507

RECOMENDAÇÕES DO CISO 08

ANÁLISE GLOBAL04

VULNERABILIDADES SOFISTICADAS05

PERSPECTIVA DE RESPOSTAS A INCIDENTES06

Cyber Wars - Edição 2024

O ecossistema de ransomware

Complexidades da nuvem

Dispositivos de borda e ORBs

O ESTADO DA CIBERSEGURANÇA EM 202555

ENTRE EM CONTATO CONOSCO

SEDE GLOBAL

5 Shlomo Kaplan Street, Tel Aviv 6789159, Israel

Telefone: 972-3-753-4599

E-mail: info@checkpoint.com

SEDE NOS ESTADOS UNIDOS

100 Oracle Parkway, Suite 800, Redwood City, CA 94065

Telefone: 800-429-4391

ESTÁ SOB ATAQUE?

Entre em contato com nossa equipe de resposta a incidentes:

emergency-response@checkpoint.com

Check Point Research

Para obter nossas pesquisas mais recentes e outros conteúdos exclusivos,

visite-nos em www.research.checkpoint.com

www.checkpoint.com

SOBRE A CHECK POINT SOFTWARE TECHNOLOGIES LTD.

Check Point Software Technologies Ltd. (www.checkpoint.com) é um fornecedor líder de plataformas de cibersegurança na nuvem e powered by IA, protegendo mais de 100.000 organizações em todo o mundo.A Check Point utiliza o poder da IA em todos os lugares para melhorar a eficiência e a precisão da cibersegurança em toda a sua plataforma Infinity, com taxas de captura líderes do setor, permitindo uma antecipação proativa de ameaças e tempos de resposta mais inteligentes e mais rápidos.A plataforma abrangente inclui tecnologias entregues na nuvem, que consistem em Check Point Harmony para proteger o espaço de trabalho, Check Point CloudGuard para proteger a nuvem, Check Point Quantum para proteger a rede e Check Point Infinity Core Services para operações e serviços de segurança colaborativos.

mailto:info%40checkpoint.com?subject= mailto:emergency-response%40checkpoint.com?subject= https://www.research.checkpoint.com http://www.checkpoint.com

© 2025 Check Point Software Technologies Ltd. Todos os direitos reservados.