Notícias
ALERTA 22/2022
Play Ransomware
Atualizado em
03/11/2022 16h17
[TLP:CLEAR]
1. O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) recebeu informações a respeito de ataques do "Play Ransomware" à redes governamentais de países da América Latina.
2. Este ransomware pode utilizar a ferramenta nativa AdFind para consulta ao Active Directory (AD), em busca de informações que possibilite a elevação de privilégios em sistemas.
3. Foram identificados indícios de que o "Play Ransomware" explora vulnerabilidades existentes no "VPN Fortinet SSL", para obter acesso inicial por meio de contas comprometidas, conforme as Common Vulnerabilities and Exposures abaixo:
4. Os Serviços de RDP expostos e compromentidos, também podem ser utilizados pelo malware em questão.
5. Além dos procedimentos citados, é possível ainda que o grupo de atores do Ransomware se utilize de e-mails institucionais publicados em violações de dados anteriores e disparem campanhas de phishing direcionadas, com o intuito de obter credenciais válidas de acesso à rede como acesso inicial, para então continuar o ataque. Portanto, recomendamos a adoção de campanhas de conscientização de usuários em relação a ataques de engenharia social, com especial atenção a tentativas de phishing via e-mail.
6. Após a infecção, o Ransomware Play opera como as demais ameaças, executando exfiltração de dados e utilizando a abordagem da dupla extorsão contra as vítimas.
7. O CTIR Gov solicita às instituições da Administração Pública Federal (APF) e orienta as demais entidades/instituições que assegurem a execução das medidas de prevenção divulgadas nas seguintes publicações:
9. Solicitamos que as ETIR reportem imediatamente ao CTIR Gov qualquer indício de comprometimento relacionado à ameaças de Ransomware.
10. O CTIR Gov ressalta que, de acordo com os artigos 15 e 17 do Decreto Nº 9.637, de 26 de dezembro de 2018, que institui a Política Nacional de Segurança da Informação, cada órgão é responsável pela proteção cibernética de seus ativos de informação. Referência:
11. Os alertas e recomendações emitidos pelo CTIR Gov podem ser consultados em:
12. O CTIR Gov adere ao padrão Traffic Light Protocol (TLP), conforme definido pelo Forum of Incident Response and Security Teams (FIRST):
[TLP:CLEAR]
1. O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) recebeu informações a respeito de ataques do "Play Ransomware" à redes governamentais de países da América Latina.
2. Este ransomware pode utilizar a ferramenta nativa AdFind para consulta ao Active Directory (AD), em busca de informações que possibilite a elevação de privilégios em sistemas.
3. Foram identificados indícios de que o "Play Ransomware" explora vulnerabilidades existentes no "VPN Fortinet SSL", para obter acesso inicial por meio de contas comprometidas, conforme as Common Vulnerabilities and Exposures abaixo:
4. Os Serviços de RDP expostos e compromentidos, também podem ser utilizados pelo malware em questão.
5. Além dos procedimentos citados, é possível ainda que o grupo de atores do Ransomware se utilize de e-mails institucionais publicados em violações de dados anteriores e disparem campanhas de phishing direcionadas, com o intuito de obter credenciais válidas de acesso à rede como acesso inicial, para então continuar o ataque. Portanto, recomendamos a adoção de campanhas de conscientização de usuários em relação a ataques de engenharia social, com especial atenção a tentativas de phishing via e-mail.
6. Após a infecção, o Ransomware Play opera como as demais ameaças, executando exfiltração de dados e utilizando a abordagem da dupla extorsão contra as vítimas.
7. O CTIR Gov solicita às instituições da Administração Pública Federal (APF) e orienta as demais entidades/instituições que assegurem a execução das medidas de prevenção divulgadas nas seguintes publicações:
- https://www.gov.br/ctir/pt-br/assuntos/alertas-e-recomendacoes/alertas/2022/alerta-01-2022
- https://www.gov.br/ctir/pt-br/assuntos/alertas-e-recomendacoes/alertas/2022/alerta-05-2022
- https://www.gov.br/ctir/pt-br/assuntos/alertas-e-recomendacoes/alertas/2022/alerta-06-2022
- https://www.gov.br/ctir/pt-br/assuntos/alertas-e-recomendacoes/alertas/2022/alerta-13-2022
- https://www.gov.br/ctir/pt-br/assuntos/alertas-e-recomendacoes/recomendacoes/2022/recomendacao-04-2022
- https://www.gov.br/ctir/pt-br/assuntos/alertas-e-recomendacoes/recomendacoes/2022/recomendacao-34-2022
9. Solicitamos que as ETIR reportem imediatamente ao CTIR Gov qualquer indício de comprometimento relacionado à ameaças de Ransomware.
10. O CTIR Gov ressalta que, de acordo com os artigos 15 e 17 do Decreto Nº 9.637, de 26 de dezembro de 2018, que institui a Política Nacional de Segurança da Informação, cada órgão é responsável pela proteção cibernética de seus ativos de informação. Referência:
11. Os alertas e recomendações emitidos pelo CTIR Gov podem ser consultados em:
12. O CTIR Gov adere ao padrão Traffic Light Protocol (TLP), conforme definido pelo Forum of Incident Response and Security Teams (FIRST):
[TLP:CLEAR]