Cibercriminosos estão expondo detalhes de suas próprias operações ao deixarem diretórios abertos em servidores utilizados em ataques, acessíveis a qualquer pessoa na internet, de acordo com análises de múltiplas empresas de segurança cibernética. A CloudSek, por exemplo, relatou ter encontrado um diretório aberto de um parceiro do grupo de ransomware Aurora, que continha informações sobre ferramentas, negociações e vítimas.
A Aurora opera sob o modelo Ransomware-as-a-Service (RaaS), no qual parceiros distribuem o ransomware e repassam parte dos lucros aos desenvolvedores. A CloudSek descobriu um diretório aberto, acessível sem autenticação pela porta 8888, que era a própria Linux home directory do atacante, utilizada em ataques. Com base nas informações, os pesquisadores identificaram que o parceiro havia atacado o grupo químico belga Christeyns.
Outros casos e descobertas
A empresa Censys relatou, na quinta-feira, um diretório aberto em um servidor usado para ataques DDoS, que continha o código-fonte do Moobot, uma variante do malware Mirai, utilizado para infectar dispositivos IoT e orquestrar ataques. Na quarta-feira, a Hunt.io divulgou a descoberta de um diretório aberto de um atacante que havia alvejado um instituto de pesquisa nuclear e uma empresa de construção naval nas Filipinas. Na semana passada, a mesma Hunt.io baseou uma análise sobre um ataque a 14.000 câmeras IP Dahua em um diretório aberto do servidor utilizado.
Ataque à Christeyns
Sobre o ataque à Christeyns, a empresa afirmou em seu site que as contas afetadas foram bloqueadas e as senhas alteradas, e que não há evidências de roubo de dados, implantação de ransomware ou impacto nas operações. A companhia não forneceu detalhes sobre a natureza do ataque.
