Como o Ransomware Vice Society Abusou do OneDrive para Roubo de Dados

Uma Ferramenta de Nuvem Familiar Transformada em Canal de Exfiltração

Quando os respondedores de incidentes da Sygnia investigaram um ataque de ransomware com dupla extorsão, eles descobriram algo que deveria preocupar qualquer pessoa que dependa de armazenamento em nuvem para operações empresariais: os atacantes por trás da intrusão, identificados como o grupo de ransomware Vice Society, usaram o Microsoft OneDrive como seu principal canal para roubar dados corporativos. Em vez de implantar malware de exfiltração personalizado que pudesse disparar alarmes, os atores de ameaças contaram com uma ferramenta que quase todas as organizações já confiam e colocam na lista de permissões.

A dupla extorsão tornou-se o manual padrão para grandes operações de ransomware. Os atacantes não apenas criptografam arquivos e exigem resgate pela chave de descriptografia. Eles também roubam dados sensíveis primeiro e depois ameaçam vazá-los publicamente se a vítima não pagar uma segunda vez. Essa tática apareceu repetidamente em incidentes recentes, incluindo a campanha de dupla extorsão LockBit 5.0 que continua atingindo organizações em todo o mundo. O que torna o caso Vice Society notável não é o modelo de extorsão em si, mas o método usado para mover silenciosamente os dados roubados para fora.

Por Que se Esconder no Tráfego do OneDrive Funciona Tão Bem

A maioria das ferramentas de segurança empresarial é projetada para sinalizar conexões de saída incomuns, endereços IP desconhecidos ou aplicativos não reconhecidos que acessam a internet. O OneDrive não dispara esses alertas porque é um serviço legítimo da Microsoft, amplamente implantado, que as equipes de segurança geralmente permitem por padrão. Ao rotear arquivos roubados pela atividade de sincronização do OneDrive, os operadores do Vice Society conseguiram misturar seu tráfego de exfiltração com o uso normal e cotidiano da nuvem.

Esta é a lição central da investigação forense da Sygnia: os atacantes têm sucesso cada vez mais não ao quebrar novos terrenos técnicos, mas ao abusar da confiança que as organizações já depositam em plataformas convencionais. É um padrão que aparece em outros lugares do cenário de ameaças também. Uma dinâmica semelhante ocorreu quando código malicioso escondido dentro de uma extensão VS Code comprometida levou ao roubo de milhares de repositórios, novamente porque uma ferramenta de desenvolvedor confiável era o vetor, em vez de uma obviamente suspeita. Quando o mecanismo de entrega parece rotineiro, a detecção se torna muito mais difícil, e a janela para os atacantes operarem sem serem detectados se alonga.

Luna Moth: Uma Ameaça Diferente, Mesmo Foco em Dados Corporativos

A equipe da Sygnia também sinalizou um ator de ameaças separado que vale a pena entender em seus próprios termos: Luna Moth. Diferentemente da abordagem de ransomware-e-vazamento do Vice Society, as táticas do Luna Moth se assemelham mais a golpes de assinatura falsa, o tipo de engenharia social que engana as vítimas fazendo-as acreditar que se inscreveram em uma cobrança recorrente que precisam cancelar. Mas o objetivo final volta ao mesmo alvo que torna os grupos de ransomware tão perigosos: dados corporativos. Luna Moth usa esse ponto de entrada enganoso para obter acesso a informações empresariais sensíveis, mesmo sem necessariamente implantar malware de criptografia.

A distinção importa para os defensores. Nem todo incidente sério de roubo de dados parece um ataque clássico de ransomware com nota de resgate e arquivos bloqueados. Alguns grupos pulam a criptografia completamente e vão direto para a extorsão baseada apenas em dados roubados, o que significa que as equipes de segurança não podem confiar apenas na detecção de comportamento de criptografia para identificar uma violação ativa.

O Que Isso Significa Para Você

Para equipes de TI e segurança, este caso é um lembrete de que colocar um serviço como o OneDrive na lista de permissões não é o mesmo que protegê-lo. O monitoramento deve se estender a volumes incomuns de dados que passam por aplicativos de nuvem aprovados, não apenas a destinos desconhecidos. Ferramentas de prevenção de perda de dados, detecção de anomalias ajustada ao comportamento de sincronização em nuvem e controles de acesso rigorosos sobre quem pode mover grandes quantidades de dados são todos mais relevantes agora do que nunca, especialmente à medida que os atacantes refinam suas táticas da mesma forma que a IA já está remodelando as operações de ransomware, forçando provedores de serviços gerenciados a repensar a recuperação cibernética inteiramente.

Para indivíduos e organizações menores, a conclusão é mais ampla: criptografar arquivos sensíveis antes que eles cheguem ao armazenamento em nuvem, usar autenticação forte em contas de nuvem e manter o ceticismo em relação a e-mails ou prompts relacionados a assinaturas pode reduzir a exposição tanto a grupos de ransomware quanto a jogadas de engenharia social como as do Luna Moth. Criptografar tráfego e dados em trânsito, seja por meio de uma VPN confiável ou ferramentas de criptografia integradas, adiciona uma camada de proteção, embora não impeça um atacante que já obteve acesso legítimo à conta. Defesas em camadas, não uma única ferramenta, são o que realmente limita o dano.

Principais Conclusões

• O Vice Society exfiltrou dados roubados por meio do OneDrive, explorando a confiança que as organizações depositam em serviços de nuvem convencionais em vez de depender de malware personalizado.
• O Luna Moth opera de forma diferente, usando táticas que se assemelham a golpes de assinatura falsa para alcançar o mesmo objetivo: roubo de dados corporativos.
• Monitorar o comportamento de aplicativos de nuvem quanto a volume incomum de dados, não apenas destinos desconhecidos, é essencial para detectar esse tipo de exfiltração.
• A dupla extorsão continua sendo o modelo dominante de ransomware, o que significa que os dados roubados representam um risco mesmo que backups permitam evitar o pagamento pela descriptografia.
• Criptografar dados sensíveis antes que cheguem à nuvem e impor controles de acesso rigorosos reduz a exposição independentemente da técnica usada pelos atacantes.

À medida que os grupos de ransomware continuam encontrando maneiras de se esconder à vista, manter-se informado sobre como essas técnicas evoluem é um dos passos mais simples que organizações e indivíduos podem tomar para uma melhor proteção.