Um novo grupo de ameaças, identificado como Mora_001, está explorando vulnerabilidades em firewalls da Fortinet para implantar um ransomware chamado SuperBlack. O ataque se baseia em falhas de autenticação recentemente divulgadas, permitindo acesso não autorizado a dispositivos comprometidos.
SuperBlack: Novo ransomware explora vulnerabilidades da Fortinet
As falhas exploradas pelo SuperBlack incluem as vulnerabilidades CVE-2024-55591 e CVE-2025-24472. A Fortinet divulgou inicialmente o CVE-2024-55591 em janeiro de 2025, confirmando sua exploração como um zero-day. Posteriormente, em fevereiro, a empresa adicionou o CVE-2025-24472 ao mesmo comunicado, gerando confusão sobre sua exploração ativa.
Pesquisadores da Forescout descobriram ataques utilizando o CVE-2025-24472 desde o início de fevereiro de 2025. Embora a Fortinet tenha inicialmente negado a exploração dessa vulnerabilidade, a empresa posteriormente reconheceu seu uso ativo em ataques.
Como o ransomware SuperBlack age
O operador do SuperBlack segue uma abordagem meticulosa e estruturada:
- Ganho de acesso – O invasor utiliza ataques via WebSocket ou solicitações HTTPS diretas para explorar as vulnerabilidades e obter credenciais de super administrador.
- Criação de contas persistentes – Novas contas administrativas são criadas (exemplo: forticloud-tech, fortigate-firewall, adnimistrator) e automatizadas para garantir a permanência.
- Movimentação lateral – O ataque se expande para outras máquinas por meio de credenciais VPN comprometidas, WMIC, SSH e autenticação TACACS+/RADIUS.
- Roubo de dados – Antes da criptografia, dados sensíveis são exfiltrados para aumentar a pressão sobre as vítimas.
- Criptografia e extorsão – Servidores de arquivos e bancos de dados são priorizados na criptografia para forçar o pagamento do resgate.
- Autodestruição do malware – O “WipeBlack” é executado para eliminar rastros e dificultar a análise forense.
Notícias Relacionadas
Ameaça digital
Ransomware paralisa operações da Sensata Technologies e expõe dados corporativos
A Sensata Technologies foi alvo de ransomware que afetou operações e resultou no roubo de dados. A empresa está investigando o incidente com apoio externo e implementando medidas para retomar as atividades.
Segurança cibernética
Grupo chinês usa falha na ESET para implantar novo malware TCESB no Windows
Grupo ToddyCat explora falha no scanner da ESET para instalar o novo malware TCESB no Windows, usando técnicas furtivas e drivers vulneráveis da Dell para escapar da detecção.
Possível ligação com LockBit
A Forescout encontrou evidências que associam o SuperBlack ao LockBit, um dos grupos de ransomware mais notórios. A análise revelou que:
- O criptografador do SuperBlack tem estrutura idêntica ao LockBit 3.0, baseada em um construtor vazado.
- A nota de resgate do SuperBlack contém um ID de bate-papo TOX vinculado ao LockBit, sugerindo um laço direto.
- Endereços IP usados nas operações do SuperBlack já foram associados a ataques do LockBit.
- O “WipeBlack” também foi utilizado por ransomware ligados ao LockBit, como BrainCipher e SenSayQ.
Medidas de proteção
Para evitar ataques do SuperBlack, empresas devem:
- Aplicar correções – Atualizar firewalls Fortinet imediatamente.
- Monitorar acessos – Implementar logs robustos para identificar tentativas de invasão.
- Reduzir exposição – Restringir acessos externos desnecessários e usar autenticação multifator.
- Treinar equipes – Sensibilizar colaboradores sobre ameaças de phishing e credenciais comprometidas.
A Forescout publicou uma lista detalhada de indicadores de comprometimento (IoCs) para auxiliar organizações na detecção de ataques do ransomware SuperBlack.
