AnchisesLandia- Brazilian Security Blogger: [Segurança] A sexta-feira da maldade da Oracle Cloud

Na sexta-feira passada, 21 de março, a comunidade de segurança ficou em estado de alerta por causa de um possível vazamento de dados de clientes do serviço de nuvem da Oracle.

Afinal de contas, quase todo mundo usa a Oracle!

Isso aconteceu porque nesse dia circulou a notícia de que um usuário chamado "rose87168" postou uma mensagem no BreachForums, um fórum underground super popular, anunciando que teria obtido um suposto acesso à informações privilegiadas sobre os clientes da Oracle Cloud. O post foi publicado no fórum no dia anterior, 20/03.

A empresa CloudSEK foi a primeira a reportar esse incidente, em seu blog, que chamou de "o maior ataque à cadeia de suprimentos de 2025". No período da tarde, aqui no Brasil, a notícia circulava em vários grupos de Whatsapp da galera de cibersegurança.

Segundo esse usuário, ele teria obtido informações dos servidores de login do serviço de nuvem da Oracle (login.{nome_da_região}.oraclecloud.com) e obteve cerca de 6 milhões de dados confidenciais de clientes, incluindo credenciais de Single-Sign-On (SSO) e LDAP, além de outros tipos de senhas e chaves de clientes. No post ele compartilhou uma lista de vítimas ("company list"), um trecho de exemplo da base LDAP e da base de dados roubada.

Segundo a lista de domínios de vítimas do vazamento, compartilhada pelo criminoso, a quantidade de empresas afetadas beira os 140 mil.

A CloudSEK publicou uma ferramenta gratuita para verificar se sua organização está na lista de vítimas compartilhada pelo atacante: https://exposure.cloudsek.com/oracle.

Se a sua empresa está na lista de vítimas, ou não, vale revisar toda a segurança do seu ambiente na Oracle Cloud:

troque credenciais e chaves de acesso;
revise as permissões de acesso;
instale os patches de segurança mais recentes;
monitore o seu ambiente.

O criminoso está leiloando os dados roubados, oferecendo a base pelo melhor preço. Ele também convidou as empresas afetadas pelo suposto vazamento que o procurem, pois ele está cobrando um determinado valor para retirar os dados da empresa dessa base, antes de vazá-la.

Segundo a CloudSEK e a Orca Security, o criminoso explorou uma vulnerabilidade crítica no Oracle Access Manager, a CVE-2021-35587.

A Oracle negou categoricamente que o incidente tenha ocorrido.

Em resposta a negativa da Oracle, o ator rose87168 tem publicado novas evidências de seu ataque, incluindo um arquivo plantado dentro da Oracle Cloud. E vários portais de notícia declararam que empresas reconheceram a veracidade dos dados expostos no sample que o ator disponibilizou.

Segundo análise da empresa Zenox, o Brasil aparece como o segundo país mais impactado pelo vazamento, com 4.387 domínios listados no arquivo de vítimas (combinando .com.br e .br). O domínio .com, lidera essa lista de vítimas, com 79.227 domínios identificados.

A Trustwave publicou um post bem legal, onde detalhou as características e riscos dos dados vazados, além de listar os domínios mais citados no sample:

Em 31 de março foi aberto um processo contra a Oracle Corporation por negligência e quebra de contrato por sua suposta falha em proteger adequadamente seus sistemas e notificar os clientes em tempo hábil (veja a íntegra, em PDF). O processo, de nível federal, foi aberto na corte do Distrito Oeste do Texas e busca status de ação coletiva. Ele tem como alvo as violações de segurança relatadas na Oracle Cloud e na Oracle Health e exige danos, custos e promessas da Oracle para proteger melhor seus clientes, dados e computadores.

Eu fiz um mapeamento dos TTPs baseado no framework Mitre ATT&CK, pois ele é muito útil para entendermos os passos do atacante rumo ao comprometimento e quais as medidas que podem ser tomadas para evitar que isso aconteça e remediar o incidente. Obviamente isso é baseado em muitas suposições, pois os detalhes do ataque não foram compartilhados pelo atacante nem pela Oracle (que continua se fazendo de louca, negando o ataque).

Veja a seguir os principais passos que supostamente aconteceram e a como fica a matriz do Mitre ATT&CK.

Esses foram os prováveis passos do "rose87168" antes e durante o ataque à Oracle Cloud, baseado no pouco que sabemos ou que se especula sobre o incidente:

Descoberta de uma forma de explorar a vulnerabilidade CVE-2021-35587
Mapeamento dos servidores Oracle Access Manager vulneráveis a CVE-2021-35587 no serviço Oracle Cloud
Exploração da vulnerabilidade CVE-2021-35587 nos endpoints da Oracle “login.(region-name).oraclecloud.com”
Obtenção de acesso com conta privilegiada graças a vulnerabilidade CVE-2021-35587
Execução de comandos no sistema comprometido (Oracle Access Manager)
Possível criação de conta local
Movimentação lateral, buscando servidores com informações sensíveis, incluindo servidores de banco de dados, servidores de gestão de identidade e acesso (IAM), de armazenamento de arquivos e LDAP
Listagem de dados do servidor LDAP
Acesso a base de dados da Oracle Cloud
Extração dos dados (não se sabe como ele exfiltrou essas informações)
Extorsão :(

Aplicando na Matriz do Mitre ATT&CK baseada nos passos acima, usando a ferramenta ATT&CK Navigador, ficamos assim:

Esse mapeamento nos permite ter uma visão do passo-a-passo de como o incidente ocorreu, além de nos mostrar que há lacunas que precisam ser explicadas para compreendermos esse incidente.

Na quinta-feira repercutiu uma notícia publicada pela Bloomberg na véspera (02/04) dizendo que a Oracle havia admitido, para alguns clientes, que o vazamento ocorreu. A empresa também afirmou que a investigação do caso está nas mãos do FBI e da CrowdStrike:

This week, Oracle staff acknowledged to some clients that an attacker had gotten into what the company called a “legacy environment,” according to the people. The company informed customers that the system hasn’t been in use for eight years and that the stolen client credentials therefore pose little risk, the people said.

~~Oficialmente, ainda não há uma confirmação pública por parte da Oracle.~~

Essa falta de posicionamento oficial da Oracle é uma postura lamentável, um triste mal exemplo de como se posicionar frente a um incidente de tamanha severidade. Uma lamentável falta de transparência. Essa postura é amplamente criticada pela comunidade e já gerou comentários tais como:

"Manifesto Malufista Negar sim, negar sempre, negar como nunca, continuar negando"
"Time de negação de incidentes apoiado pelo NIST CSF que menciona o seguinte: 'Só sofre incidente quem abre o EDR'."
"Oracle are attempting to wordsmith statements around Oracle Cloud and use very specific words to avoid responsibility. This is not okay. Oracle need to clearly, openly and publicly communicate what happened, how it impacts customers, and what they’re doing about it. This is a matter of trust and responsibility. Step up, Oracle — or customers should start stepping off." (fonte)

Em uma reportagem de hoje, 09/04, o portal Bleeping Computer notificou que a Oracle enviou uma comunicação oficial confirmando o incidente. Segundo a Oracle, o vazamento ocorreu em "dois servidores obsoletos" e seus servidores da "Oracle Cloud Infrastructure" (OCI) não foram comprometidos e que este incidente não impactou os dados dos clientes nem os serviços em nuvem.