Um Novo Grupo de Extorsão Ataca o Setor Financeiro
Uma onda de ataques cibernéticos contra fundos de hedge, empresas de private equity e outras organizações financeiras foi associada ao UNC6671, um grupo de extorsão alegadamente ligado aos atores de ameaça BlackFile. A ligação, reportada pelo BleepingComputer, aponta para uma campanha coordenada dirigida diretamente a alguns dos setores mais ricos em recursos, mas historicamente menos escrutinados, da indústria financeira.
Os fundos de hedge e as empresas de private equity gerem somas enormes de capital e detêm dados sensíveis sobre investidores, pipeline de negócios e empresas em carteira. Essa combinação de informações de alto valor e, em muitos casos, equipas de segurança mais reduzidas do que as dos grandes bancos torna-os um alvo atrativo para grupos especializados em extorsão, em vez do tradicional ransomware com encriptação.
Quem São o UNC6671 e o BlackFile?
O UNC6671 é a designação usada para rastrear este conjunto específico de intrusões, e a sua alegada associação com o BlackFile sugere um conjunto de ferramentas, infraestrutura ou manual operacional partilhado entre os dois. Grupos de extorsão como este tipicamente seguem um padrão familiar: aceder a uma rede, exfiltrar silenciosamente ficheiros sensíveis e depois pressionar a vítima a pagar, ameaçando divulgar publicamente os dados roubados. Ao contrário dos operadores de ransomware clássicos, que se concentram em encriptar sistemas e exigir um pagamento por uma chave de desencriptação, os grupos focados em extorsão muitas vezes ignoram completamente a encriptação e baseiam-se apenas na ameaça de exposição, o que pode ser mais difícil para os defensores detetarem até que o dano já esteja feito.
Esta abordagem espelha o que aconteceu noutros incidentes recentes. A violação de dados da Stadler Rail, por exemplo, viu o gangue Everest exigir um pagamento multimilionário ligado a uma violação de uma plataforma de troca de dados, em vez de um bloqueio total do sistema. As táticas de extorsão como primeira opção tornaram-se cada vez mais comuns em todos os setores, precisamente porque exigem menos recursos técnicos do que implementar e gerir payloads de ransomware, ao mesmo tempo que dão aos atacantes uma influência significativa sobre vítimas preocupadas com consequências reputacionais e regulatórias.
Por Que as Empresas Financeiras São Alvos Preferenciais
Os fundos de hedge e as empresas de private equity ocupam uma posição única no panorama de ameaças. Gerem informações confidenciais de investidores, termos de negócios não públicos e dados financeiros que podem ser valiosos não só para extorsão, mas potencialmente para abuso de informação privilegiada ou inteligência competitiva se forem divulgados ou vendidos. Em comparação com bancos regulamentados, muitas destas empresas operam com equipas de segurança internas mais pequenas e dependem fortemente de fornecedores terceiros, plataformas na cloud e ferramentas de acesso remoto, qualquer um dos quais pode tornar-se um ponto de entrada para os atacantes.
Isto é consistente com uma tendência mais ampla observada no panorama de ameaças este ano, onde os atacantes visam cada vez mais dispositivos de fronteira e infraestrutura de acesso remoto para estabelecer uma posição inicial. Campanhas envolvendo o zero-day do SonicWall SMA 1000 explorado pelo ransomware INC e o zero-day do Cisco FMC sob ataque ativo ilustram a rapidez com que os agentes de ameaça se movem assim que uma vulnerabilidade em hardware empresarial amplamente implementado se torna conhecida. Não foram detalhados se o UNC6671 dependeu de acesso semelhante a nível de infraestrutura ou de phishing e engenharia social mais direcionados, mas a lição subjacente é válida para todos os setores: o perímetro é tão forte quanto o seu ponto de entrada mais fraco e menos monitorizado.
O Que Isto Significa Para Si
Se trabalha ou investe através de um fundo de hedge, empresa de private equity ou qualquer empresa de serviços financeiros, esta campanha é um lembrete de que as suas informações pessoais e financeiras podem passar por organizações que são cada vez mais vistas como alvos fáceis por grupos de extorsão. Os investidores normalmente têm pouca visibilidade sobre quão bem um fundo protege os dados que recolhe durante o onboarding, due diligence ou reporte contínuo.
Para os funcionários destas empresas, o risco é mais imediato. Os grupos de extorsão muitas vezes obtêm acesso inicial através de credenciais comprometidas, emails de phishing ou software de acesso remoto não corrigido, em vez de dependerem apenas de zero-days sofisticados. Isto significa que a higiene básica, como autenticação multifator, verificação cuidadosa de emails e aplicação rápida de patches, ainda fecha uma grande parte dos potenciais pontos de entrada.
Antecipar-se aos Ataques Motivados por Extorsão
A ligação entre o UNC6671 e o BlackFile sublinha como as táticas de extorsão se tornaram uma estratégia preferida para agentes de ameaça que visam o setor financeiro, onde o risco reputacional por si só pode ser suficiente para forçar um pagamento. Tal como noutros incidentes recentes envolvendo grupos como o ransomware Qilin a explorar uma falha de bypass do PAN-OS, o padrão é consistente: os atacantes procuram o caminho de menor resistência para entrar em redes valiosas e depois dependem da exposição de dados, em vez da disrupção, para forçar uma resposta.
Se interage com um fundo de hedge, empresa de private equity ou instituição financeira semelhante, faça perguntas diretas sobre como os seus dados são protegidos, se é usada encriptação para registos sensíveis e que planos de resposta a incidentes existem. Para as próprias empresas, tratar os grupos de extorsão como o UNC6671 como uma categoria de risco distinta e crescente, separada do ransomware tradicional, é um passo necessário para fechar as lacunas que estes atacantes estão a explorar ativamente.
