Invasões, que podem dar aos cibercriminosos acesso ao código-fonte desenvolvido para o Tribunal, ocorrerem graças a uma instalação mal configurada da plataforma SonarQube
O Supremo Tribunal Federal (STF) tem sido alvo de hackers pelo menos desde abril deste ano. O alerta foi feito no início de novembro pelo FBI, tamanha a proporção das invasões que afetaram os servidores do STF, graças a uma instalação mal configurada da SonarQube.
Por meio da vulnerabilidade na plataforma de verificação de segurança de desenvolvimento de código, um hacker pode ter acesso ao código-fonte desenvolvido para o Tribunal. A SonarQube é instalada em servidores que se conectam a sistemas de hospedagem de código-fonte, tais como o GitHub
Ao tomar conhecimento do alerta da agência americana, um pesquisador brasileiro que localizou as máquinas num buscador de internet das coisas informou o problema ao site CISO Advisor e já advertiu o STF.
Os problemas, na verdade, já haviam sido sigilosamente enviado aos órgãos do governo americano dia 14 de outubro – 20 dias antes. O sigilo foi adotado porque a vulnerabilidade da plataforma foi utilizada na exfiltração de código-fonte de propriedade do governo americano e também de empresas dos EUA.
STJ também foi vítima de ciberataque
Na mesma semana em que o FBI alertou sobre o ataque hacker aos servidores do STF, o ambiente virtual do Superior Tribunal de Justiça (STJ) também foi alvo de um ciberataque sem precedentes – um ransomware que parece ter “sequestrado” com criptografia arquivos importantes do sistema da Corte.
Segundo o jornalista Diego Escosteguy, do site O Bastidor, fontes internas afirmam que o ataque atingiu diretamente os e-mails do STJ, além dos processos do tribunal. O invasor chegou a enviar mensagem com orientações sobre como contatá-lo para combinar o pagamento para que os arquivos fossem liberados.
“Os caras criptografaram o ambiente virtualizado com todas as informações da TI do STJ, salvo o processo judicial, que roda numa área chamada ‘Justiça’. Essa área fica separada do virtualizado. O cara achou pouco destruir 1.200 máquinas virtuais e também destruiu o backup dessas máquinas. Então foi um prejuízo pesado, muito grande”, relatou suposto funcionário do STJ.
A Polícia Federal assumiu a investigação do caso, não só para compreender a extensão dos danos, como para averiguar o acesso aos arquivos, que pode incluir até mesmo uma cópia indevida dos dados.
Crédito: Fabiana Rolfini/Convergência Digital – @internet 17/11/2020
