Vulnerabilidade Zero-Day no SharePoint vira alvo de ransomware e afeta mais de 400 organizações

Uma campanha massiva de ransomware está explorando vulnerabilidades desconhecidas no Microsoft SharePoint, com mais de 400 organizações comprometidas, segundo pesquisadores de segurança. Os ataques representam uma escalada perigosa de exploits que começaram direcionados e agora se transformaram em distribuição automatizada de ransomware.

As vulnerabilidades zero-day, que a Microsoft corrigiu em atualizações emergenciais, permitiam que invasores obtivessem acesso inicial às redes corporativas através dos servidores SharePoint. Uma vez dentro, os criminosos avançam lateralmente para implantar ransomware em toda a rede. Entre as organizações afetadas está uma agência de pesquisa nuclear dos EUA, destacando a gravidade desses ataques.

A equipe de segurança da Microsoft confirmou que múltiplos grupos de ameaças estão explorando ativamente essas vulnerabilidades no SharePoint. Os ataques seguem um padrão conhecido: comprometimento inicial através dos servidores SharePoint expostos na web, elevação de privilégios, reconhecimento da rede e finalmente implantação de ransomware no maior número possível de sistemas.

Análises técnicas revelam que os exploits visam capacidades de execução remota de código do SharePoint. Os atacantes combinam isso com técnicas de bypass de autenticação para obter acesso administrativo sem credenciais válidas. As cargas de ransomware observadas parecem ser variantes de famílias conhecidas, mas modificadas para atacar especificamente documentos e bancos de dados gerenciados pelo SharePoint.

As equipes de segurança devem priorizar:

1. Aplicação imediata das últimas atualizações de segurança do SharePoint
2. Análise de todos os logs de acesso aos servidores SharePoint em busca de atividades suspeitas
3. Segmentação dos servidores SharePoint em relação a recursos críticos da rede
4. Verificação de backups para todo o conteúdo gerenciado pelo SharePoint

A Microsoft publicou orientações detalhadas sobre indicadores de comprometimento, incluindo padrões específicos de requisições HTTP e criações inesperadas de processos. Organizações sem equipes de segurança dedicadas devem considerar a contratação de profissionais de resposta a incidentes, pois esses ataques frequentemente deixam backdoors mesmo após a implantação do ransomware.