Ransomware: CHAOS, DragonForce e STORM atacam

Security Arsenal reportou, nos últimos dias, novas levas de vítimas de CHAOS, DragonForce, KRYBIT, STORM e GLOBAL SECRET GROUP. Há organizações afetadas nos Estados Unidos e em outros países. A cobertura também se cruzou com casos na América Latina, como uma distribuidora farmacêutica argentina mencionada em relatórios sobre Aur0ra e Cursor AI, além de vítimas no Brasil, na Argentina e nos Emirados Árabes Unidos em outra publicação ligada ao DragonForce.

O que a Security Arsenal publicou sobre CHAOS, DragonForce e KRYBIT?

A Security Arsenal informou que o CHAOS publicou três novas vítimas em 24 horas, o DragonForce acrescentou quatro no mesmo período e o KRYBIT listou 13 organizações em 48 horas. No caso do CHAOS, uma das vítimas foi a mswalker.com, nos Estados Unidos, em um lote que também incluiu empresas de serviços profissionais e pequenas e médias empresas.

No caso do DragonForce, o relatório atribuiu a atividade a vítimas na Argentina, no Brasil, nos Emirados Árabes Unidos e no Canadá. A Security Arsenal também descreveu TTPs associadas a essa campanha, com exploração de aplicações públicas, uso de credenciais válidas, serviços remotos externos, RDP/SMB, WMI, PsExec, exfiltração, inibição de recuperação e criptografia.

O KRYBIT, por sua vez, publicou 13 organizações em 48 horas. A Security Arsenal disse que o conjunto incluiu uma vítima nos Estados Unidos, a wmiemporium.com, em setores como varejo e e-commerce, saúde, agricultura e alimentos, além de serviços financeiros.

Que informações extras trazem Breach House e RecentBreaches?

Breach House e RecentBreaches trouxeram detalhes sobre mswalker.com e wmiemporium.com, com diferenças na confirmação do incidente. No caso da mswalker.com, a Breach House atribuiu o caso ao CHAOS, situou a empresa nos Estados Unidos e acrescentou que cerca de 620 GB teriam sido exfiltrados antes da criptografia.

Esse mesmo caso também aparece na RecentBreaches como uma reclamação não confirmada pela empresa. A ficha desse site reforça a atribuição ao CHAOS, mas mantém o status de incidente reclamado e não verificado publicamente no momento do relatório.

Para a wmiemporium.com, a Breach House confirmou a atribuição ao KRYBIT e informou que a vítima fica nos Estados Unidos e atua em varejo e e-commerce. O dado coincide com a campanha mais ampla descrita pela Security Arsenal.

Qual foi o alcance de STORM e GLOBAL SECRET GROUP?

O STORM publicou sete novas vítimas em 72 horas, seis delas nos Estados Unidos, e o GLOBAL SECRET GROUP registrou três novas vítimas em 24 horas, todas também nos Estados Unidos. No caso do STORM, os setores citados incluíram governo, saúde, serviços financeiros e manufatura.

A IntelFusions ampliou o quadro sobre o STORM ao indicar que, em um conjunto mais amplo de listagens, 27 das 35 vítimas publicadas eram organizações americanas. Esse recorte setorial colocou os principais blocos em manufatura, saúde e serviços financeiros.

No GLOBAL SECRET GROUP, a Security Arsenal descreveu vítimas em transporte e construção, varejo e automotivo, além de um ambiente próximo a governo e defesa. A ransomware.live identificou ainda a Lockheed Architectural Solutions, Inc., em Rhode Island, no segmento de manufatura e materiais de construção, e a Tiseo Paving, no Texas, como empresa de construção comercial e residencial.

O que se sabe sobre a frente Aur0ra com Cursor AI?

A Claims Journal e a Reuters informaram que o operador do Aur0ra usou o Cursor AI para intrusões em sete empresas. Entre as vítimas estavam uma distribuidora farmacêutica argentina e a Bayou Title, uma seguradora de títulos com sede na Louisiana, além de organizações na Bélgica, Alemanha, Escócia, Itália e Estados Unidos.

A Reuters identificou seis dessas sete empresas pelo nome e confirmou o padrão de ataque apoiado na ferramenta de programação da SpaceX. Coberturas derivadas em eSecurityPlanet, La Nación e explainx.ai replicaram essa informação e mantiveram a referência à vítima argentina e à seguradora americana.