À medida que os ciberataques que visam o Active Directory continuam a aumentar, as equipas de segurança, identidade e TI do AD enfrentam uma pressão crescente para monitorizar o cenário de ameaças em evolução centrado no AD. Para ajudar os profissionais de TI a compreender e prevenir os ataques que envolvem o AD, a equipa de investigação da Semperis publica um resumo mensal dos ciberataques recentes. No resumo de ataques relacionados com a identidade deste mês, um ataque relacionado com a identidade visa a Johnson Controls, a violação do MOVEit faz mais vítimas no Canadá e nos EUA e o grupo de ransomware Royal faz a violação da cidade de Dallas.
Dispositivos da Johnson Controls encriptados num ataque de ransomware
A empresa de automação Johnson Controls comunicou interrupções de TI em grande escala após um ataque de ransomware ter encriptado dispositivos em toda a organização. Um investigador de ameaças descobriu uma nota de ransomware que afirmava que os atacantes utilizaram um encriptador VMware ESXi desenvolvido pela Dark Angels, um grupo de ransomware que utiliza várias tácticas para violar redes e mover-se lateralmente para obter o controlo de controladores de domínio Windows.
Violação da MOVEit faz vítimas no Canadá e nos EUA
Os ataques de roubo de dados MOVEit do grupo de ransomware Clop fizeram várias vítimas no Canadá e nos EUA, incluindo o Hospital for Sick Children, o registo de crianças BORN Ontario e o National Student Clearinghouse nos EUA. Os métodos de ataque do Clop incluem visar toda a rede da vítima, comprometendo o servidor Active Directory (AD) e lançando malware.
Grupo de ransomware real alega violação da cidade de Dallas
Um ataque à cidade de Dallas, em maio, que desligou os sistemas informáticos, foi reivindicado pelo grupo de ransomware Royal, que roubou uma conta de serviço de domínio que os atacantes utilizaram depois para exfiltrar ficheiros e lançar cargas úteis Cobalt Strike.
BlackCat/ALPHV visa grupo de casinos
O grupo de ransomware BlackCat/ALPHV reivindicou um ataque à MGM que interrompeu as operações. O BlackCat/ALPHV, que visa habitualmente o Active Directory para entrar nos sistemas de informação antes de lançar o malware, também utiliza o encriptador Sphynx para atacar contas de armazenamento na nuvem do Azure.
Os atacantes iranianos do APT33 atingem organizações de defesa em ataques de pulverização de palavras-passe que visam o Entra ID (Azure AD)
A Microsoft informou que o grupo cibercriminoso iraniano APT33 utilizou tácticas de pulverização de palavras-passe para obter acesso às credenciais do Entra ID (Azure AD) em violações generalizadas contra organizações de defesa globais.
Mais recursos
