Hackers intensificam ataques explorando falhas antigas no ServiceNow para atingir sistemas não atualizados

Hackers estão intensificando as tentativas de explorar três vulnerabilidades no ServiceNow, descobertas há mais de um ano, com o objetivo de invadir instâncias corporativas que ainda não aplicaram as correções, alertaram pesquisadores de segurança nesta semana.

A startup de inteligência de ameaças GreyNoise informou em seu blog, na última terça-feira, que observou “um ressurgimento notável de atividades maliciosas em ambiente real” focadas nas três vulnerabilidades do ServiceNow, registradas como CVE-2024-4879, CVE-2024-5178 e CVE-2024-5217.

Essas falhas foram inicialmente divulgadas por pesquisadores da Assetnote em 14 de maio de 2024 e corrigidas pela ServiceNow no mesmo dia, conforme declarou Erica Faltous, porta-voz da empresa. Os detalhes técnicos das vulnerabilidades só se tornaram públicos em julho de 2024.

Segundo a GreyNoise, todas as três falhas voltaram a ser exploradas de forma direcionada na última semana. Embora ainda não se saiba exatamente quem está por trás dessa nova onda de ataques, 70% das atividades maliciosas observadas tiveram como alvo sistemas localizados em Israel, além de ocorrências também registradas na Alemanha, Japão e Lituânia.

Conforme apontado inicialmente pela Assetnote no ano passado, e confirmado agora pela GreyNoise, as vulnerabilidades podem ser encadeadas, permitindo que o invasor obtenha “acesso completo ao banco de dados” das instâncias afetadas. O ServiceNow é frequentemente utilizado por empresas para armazenar dados sensíveis de seus funcionários, incluindo informações pessoais e registros de RH.

A ServiceNow afirmou que identificou as falhas “há quase um ano” e que, “até o momento, não foi observado nenhum impacto em clientes como resultado de campanhas de ataque”.

Após a divulgação feita pela Assetnote em 2024, a empresa americana de segurança Resecurity alertou que hackers estrangeiros tentaram explorar as vulnerabilidades do ServiceNow para atingir tanto empresas do setor privado quanto agências governamentais ao redor do mundo.

De acordo com a Resecurity, foram observadas tentativas de ataque direcionadas a uma empresa do setor energético, uma organização de data center, uma agência governamental do Oriente Médio e uma desenvolvedora de software. Já a empresa de cibersegurança Imperva divulgou, em julho de 2024, que detectou tentativas de exploração em mais de 6.000 sites de diversos setores — com foco especial no setor financeiro.

Via - TC