Cibercriminosos exploram falhas de segurança para implementar ransomware SuperBlack

A empresa de segurança Forescout identificou um grupo de cibercriminosos russo, rastreado como Mora_001, que tem explorado vulnerabilidades críticas para lançar ataques de ransomware. A atividade do grupo envolve a criação de variantes do LockBit através de um construtor divulgado indevidamente para desenvolver um novo ransomware denominado SuperBlack.

A Forescout aponta que Mora_001 mantém ligações com gangues de ransomware estabelecidas, com base nos seus métodos de exploração e no uso de identificadores do LockBit.

Os cibercriminosos têm explorado as falhas CVE-2024-55591 e CVE-2025-24472, que permitem a obtenção de privilégios elevados em sistemas vulneráveis. A Fortinet disponibilizou correções para a primeira vulnerabilidade em janeiro e alertou para a sua exploração ativa como zero day e, posteriormente, atualizou as informações em fevereiro para incluir a segunda falha, que abrange um vetor de ataque adicional. Poucos dias após a publicação de uma proof-of-concept (PoC) direcionada a sistemas afetados, a Forescout observou o grupo de cibercriminosos a utilizá-la em ataques reais.

Após comprometer um sistema, o grupo cria contas administrativas locais para estabelecer persistência e descarregar ficheiros críticos de configuração. Os atacantes modificam definições do sistema e implementam scripts de automatização para restaurar o acesso privilegiado caso seja removido. Além disso, o grupo tem sido visto a criar contas VPN e a explorar ferramentas de gestão remota para conhecimento da rede com objetivo de procurar oportunidades para movimento lateral dentro das infraestruturas das vítimas.

Os ataques concentram-se em comprometer servidores e controladores de domínio, com o grupo Mora_001 a utilizar WMIC e SSH para descoberta e acesso remoto. O ransomware SuperBlack é ativado apenas após exfiltração de dados, priorizando servidores de ficheiros com informações sensíveis. Em vez de encriptar toda a rede, os atacantes selecionam estrategicamente os sistemas mais valiosos para maximizar o impacto do ataque.

O SuperBlack diferencia-se do LockBit 3.0 por descartar uma nota de resgate modificada e utilizar um novo executável de exfiltração de dados. Contudo, inclui um componente denominado WipeBlack que remove vestígios do ransomware após a encriptação, dificultando a deteção e análise do ataque.