:quality(85))
Destaques do artigo:
- A organização cibercriminosa conhecida como Cl0p explorou uma vulnerabilidade zero-day no E-Business Suite da Oracle, resultando em violações críticas de dados para dezenas de grandes corporações. O grupo de ransomware está exigindo pagamentos significativos de algumas das maiores empresas do mundo, supostamente incluindo Broadcom, Estée Lauder, Mazda e Canon.
- Uma vulnerabilidade zero-day é uma brecha de segurança em um software, hardware ou firmware que é desconhecida pelos seus desenvolvedores e, portanto, suscetível à exploração por cibercriminosos e outros agentes maliciosos.
- Até o momento, mais de 100 empresas foram impactadas pelos ataques da Cl0p ao Oracle EBS. Em um período de 24 horas entre 20 e 21 de novembro, o grupo supostamente explorou violações e exfiltrou dados de 29 empresas. Essas companhias têm sedes desde os EUA até o Japão e Arábia Saudita e incluem várias corporações avaliadas em centenas de bilhões de dólares.
A partir de quinta-feira, 20 de novembro, e continuando pelo dia seguinte, a organização cibercriminosa conhecida como Cl0p explorou uma vulnerabilidade zero-day no E-Business Suite da Oracle, levando a violações críticas de dados em dezenas de grandes corporações. O grupo de ransomware está exigindo pagamentos significativos de algumas das maiores empresas do mundo, supostamente incluindo Broadcom, Estée Lauder, Mazda e Canon. Em um e-mail enviado pela Cl0p e obtido pela mídia, os cibercriminosos enfatizam que eles “não buscam poder político, nem se importam com qualquer empresa.” O objetivo exclusivo da organização é coagir as empresas-alvo a “pagar a quantia exigida.”
Quem é a Cl0p?
O grupo cibercriminoso que assumiu a autoria dos ataques aos clientes do Oracle E-Business Suite se autodenomina Cl0p. O grupo de língua russa existe desde pelo menos 2019 e lançou inúmeros ataques de ransomware em larga escala desde sua criação. A Cl0p é conhecida por suas técnicas sofisticadas de extorsão, malware avançado, e já extorquiu com sucesso mais de US$ 500 milhões até o momento.
Segundo a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA), Cl0p “é conhecida por mudar frequentemente seus malwares e impulsionar tendências globais na distribuição criminosa de malware.” Considerado amplamente “um dos maiores distribuidores de phishing e malspam do mundo,” o Cl0p já explorou violações de dados em mais de 8.000 empresas, incluindo 3.000 organizações dos EUA, desde que apareceu há seis anos.
O que é uma vulnerabilidade zero-day e como a Cl0p a explorou?
Uma vulnerabilidade zero-day é uma brecha de segurança em um software, hardware ou firmware que é desconhecida pelos desenvolvedores e, portanto, vulnerável à exploração por cibercriminosos e outros agentes maliciosos. Como explica bem o Office of Innovative Technologies da Universidade do Tennessee,
“Uma vulnerabilidade zero-day é como uma porta secreta oculta no seu aplicativo ou sistema operacional favorito.”
O termo “zero-day” refere-se à quantidade de tempo que desenvolvedores, especialistas em cibersegurança e outras partes estão cientes da falha de segurança. Como o nome indica, vulnerabilidades zero-day não estão sendo ativamente corrigidas ou reparadas pelos desenvolvedores porque eles sequer sabem que esses gaps existem. Essa falta de visibilidade permite que hackers explorem a vulnerabilidade para roubar e exfiltrar dados sensíveis, plantar malware e realizar outras ações maliciosas para atingir diferentes objetivos.
No caso do ataque atual ao Oracle E-Business Suite, a Cl0p explorou duas vulnerabilidades zero-day conhecidas. Ambas afetam as versões 12.2.3 a 12.2.14 do Oracle EBS.
- CVE-2025-61882: Este CVE (common vulnerabilities and exposures, vulnerabilidades e exposições comuns) é uma vulnerabilidade na integração do BI Publisher dentro do E-Business Software da Oracle. Segundo o National Cyber Security Centre do Reino Unido, este CVE permite que hackers não autenticados “enviem solicitações HTTP especialmente criadas para o componente afetado, resultando na total violação do sistema.” O CVE 2025-61882 deu à Cl0p acesso direto ao sistema alvo.
- CVE-2025-21884: Esta vulnerabilidade está relacionada à interface de usuário (UI) Runtime do Oracle Configurator. De acordo com a CISA, o CVE “permite que um invasor não autenticado com acesso à rede via HTTP comprometa o Oracle Configurator.” Quando executada com sucesso, a CVE-2025-21884 pode dar a hackers acesso não autorizado a dados críticos ou sensíveis.
Há quanto tempo o grupo cibercriminoso explora a Oracle?
Os ataques de ransomware da Cl0p ao E-Business Software da Oracle datam do final de setembro.
Nos últimos dois meses, a atuação do grupo se ampliou gradualmente, e hoje a Cl0p já lista mais de 100 organizações-alvo apenas nestes ataques ao Oracle EBS. Os dados de 77 dessas empresas já foram vazados via arquivos torrent ou links magnet.
Quais empresas foram impactadas pelo ataque de ransomware?
Até o momento, mais de 100 empresas teriam sido impactadas pelos ataques da Cl0p ao Oracle EBS. Em um período de 24 horas entre 20 e 21 de novembro, o grupo supostamente explorou violações e exfiltrou dados de outras 29 empresas. Essas companhias têm sedes que vão dos EUA até Japão e Arábia Saudita e incluem várias corporações avaliadas em centenas de bilhões de dólares.
Empresas supostamente exploradas no ataque de ransomware em 20 de novembro
- Oracle
- Michelin
- Broadcom
- The Estée Lauder Companies
- Humana
- Fruit of the Loom
- Abbott Laboratories
- Grupo Bimbo
- A10
- Envoy
- Canon
- Greater Cleveland RTA
- Frontrol
- MAS Holdings
- Trane Technologies
- Treet Corp
- University of Phoenix
- L&L Products
- Worley
- Mazda
- Fleet Management Limited
- Alshaya Group
- Bechtel Corporation
- WellBiz Brands, Inc.
- Dooney & Bourke
- Greenball
- Sumitomo Chemical
- Aljomaih Automotive Company (AAC)
O que está sendo feito para mitigar os ciberataques?
Desde o início de outubro, a Oracle emitiu dois alertas de segurança importantes notificando os usuários sobre as vulnerabilidades relacionadas aos ataques zero-day da Cl0p. O primeiro alerta tratou do CVE-2025-61882. “Esta vulnerabilidade pode ser explorada remotamente sem autenticação, ou seja, pode ser explorada pela rede sem necessidade de nome de usuário e senha,” explicou a Oracle em seu alerta de segurança. “A Oracle recomenda fortemente que os clientes apliquem as atualizações fornecidas por este Alerta de Segurança o mais rápido possível.” A atualização incluiu um documento sobre a disponibilidade do patch, instruindo os usuários a acessar e instalar o patch de segurança.
A Oracle enviou um segundo alerta de segurança para tratar do CEV-2025-61884. Esse alerta também incluiu documentação sobre a disponibilidade do patch e orientou os usuários a aplicarem as atualizações o quanto antes para evitar uma violação de segurança de grandes proporções ou outras consequências negativas.
O que a Cl0p ameaça fazer caso as empresas não cumpram as exigências?
Com base na mensagem do e-mail da Cl0p publicada pela Mandiant, empresa de cibersegurança do Google, a principal arma de pressão da Cl0p é o dado sensível exfiltrado do Oracle EBS. Na mensagem, o grupo cibercriminoso adverte que empresas que não efetuarem o pagamento exigido do ransomware terão seus dados de clientes divulgados, seja pela venda a “atores do mercado negro”, publicação no blog do grupo ou via torrent trackers.
A Mandiant também fez um comunicado importante sobre o modus operandi do grupo cibercriminoso. A empresa explicou que, em campanhas anteriores da Cl0p, “os agentes costumavam esperar várias semanas antes de divulgar os dados das vítimas.” Isso sugere que as empresas vítimas do ataque mais recente ainda têm algum tempo antes que seus dados de clientes sejam vazados em um dos formatos historicamente usados pela Cl0p.
Veja as vulnerabilidades dos seus fornecedores com Z2Data
Para fabricantes de equipamentos originais (OEMs) e outras empresas, o risco de fornecedor é uma variável dinâmica e imprevisível na cadeia de suprimentos. Como revelam os ataques de zero-day à Oracle, empresas podem sofrer grandes consequências devido a quebras na cadeia de suprimentos de seus fornecedores, e respostas imediatas nem sempre são viáveis. Nas últimas seis semanas, empresas da Fortune 500 como Broadcom, Abbott Laboratories e Estée Lauder teriam sofrido violações significativas de dados devido à vulnerabilidade relacionada à sua fornecedora de software Oracle.
A suscetibilidade a vulnerabilidades de fornecedores não precisa ser o padrão. As empresas podem utilizar uma plataforma de gestão de risco na cadeia de suprimentos (SCRM, Supply Chain Risk Management) para se proteger contra riscos potenciais de seus fornecedores.
Mas a suscetibilidade a vulnerabilidades de fornecedores não precisa ser o padrão. As empresas podem utilizar uma plataforma de gestão de risco na cadeia de suprimentos (SCRM) para se blindar contra os riscos potenciais de seus fornecedores. O SCRM da Z2Data mantém um hub abrangente que reúne avaliações de risco de mais de 100.000 fornecedores em todo o mundo. Cada avaliação consolida 12 fatores únicos para chegar a uma avaliação multidimensional da ameaça representada por cada fornecedor. Os fatores analisados pela Z2Data incluem:
- Dependência de fornecimento
- Impacto de tarifas comerciais
- Compliance comercial
- Risco geopolítico
- Operações de manufatura
- Saúde financeira
- Risco de falência
- Risco ESG
- Cibersegurança
- Transparência de dados
- Materiais
- Risco na cadeia de suprimentos eletrônicos
Usando o Risk Hub da Z2Data, as organizações têm visibilidade e inteligência para identificar riscos proativamente, antes que eles se tornem crises irreversíveis na cadeia de suprimentos. Para saber mais sobre a Z2Data e suas capacidades de análise de risco de fornecedores, solicite um teste gratuito com um de nossos especialistas em produtos.
