MOVEit: 3 anos do zero-day que expôs 93 milhões de registros

Três anos atrás, neste exato dia, a Progress Software publicou um alerta emergencial para os clientes do MOVEit Transfer: havia uma vulnerabilidade crítica de SQL injection sendo ativamente explorada. O que ninguém sabia ainda era o tamanho do estrago. Quando a poeira baixou, mais de 2.700 organizações — BBC, British Airways, US Department of Energy, governos estaduais americanos e canadenses — tinham sido comprometidas. Cerca de 93 milhões de pessoas tiveram dados roubados. E o grupo por trás de tudo isso havia começado a agir quatro dias antes da divulgação pública.

O que era o MOVEit Transfer e por que estava em tudo

MOVEit Transfer, desenvolvido pela Ipswitch e depois adquirido pela Progress Software, é um software de transferência gerenciada de arquivos (MFT — Managed File Transfer). Empresas usam esse tipo de ferramenta para mover arquivos sensíveis entre sistemas internos, parceiros e clientes de forma rastreável e auditável: folhas de pagamento, dados de benefícios, registros médicos, documentos fiscais.

O problema dos MFTs é exatamente esse: eles ficam no meio de tudo. Uma empresa de RH que usa MOVEit para processar a folha de pagamento de 50 clientes significa que um único servidor comprometido dá acesso aos dados dessas 50 empresas de uma vez. É a lógica do supply chain attack: você não ataca a vítima final diretamente — você ataca o fornecedor que serve a todas elas.

Para mais contexto sobre como ataques de cadeia de fornecimento funcionam na prática, veja o que aconteceu com o JDownloader comprometido via repositório Python e com a extensão do VS Code que virou vetor de ataque no GitHub.

Como o ataque funcionava tecnicamente

A CVE-2023-34362 é uma falha de SQL injection nos handlers de requisições HTTP/S do MOVEit Transfer. O ponto de entrada era o endpoint /human.aspx: a aplicação não sanitizava corretamente o input do usuário antes de montar as queries SQL, então um atacante conseguia injetar comandos arbitrários diretamente no banco de dados.

O grupo Cl0p explorou isso para instalar um webshell customizado chamado LEMURLOOT, um arquivo C# disfarçado de human2.aspx — nome propositalmente parecido com o arquivo legítimo human.aspx da interface web. O LEMURLOOT se autenticava via um header HTTP específico (X-siLock-Comment): sem a senha correta, o webshell retornava um 404 genérico, se tornando invisível para quem não soubesse exatamente onde procurar.

Uma vez instalado, o LEMURLOOT podia:

• Listar e fazer download de todos os arquivos armazenados no MOVEit
• Extrair credenciais e configurações do Azure Blob Storage (onde muitos clientes armazenavam arquivos na nuvem)
• Criar, modificar e deletar usuários no sistema
• Retornar os dados comprimidos em gzip para dificultar a detecção via inspeção de tráfego

A Mandiant confirmou que as primeiras explorações aconteceram em 27 de maio de 2023 — quatro dias antes da divulgação pública pela Progress Software. O Cl0p já havia comprometido dezenas de organizações antes de qualquer patch estar disponível.

Quem é o Cl0p e por que é diferente de outros grupos de ransomware

O Cl0p (também referenciado como CL0P, TA505 e Lace Tempest pela Microsoft) opera de uma forma distinta dos grupos convencionais: eles não criptografam sistemas — eles roubam dados e ameaçam publicar. Isso os torna particularmente eficientes em ataques supply chain via MFTs, pois não precisam de acesso profundo à rede interna, apenas exfiltrar os arquivos que já estão no servidor de transferência.

Antes do MOVEit, o Cl0p havia usado a mesma estratégia com o Accellion FTA em 2021 e com o GoAnywhere MFT em fevereiro de 2023. O padrão se repetia: encontrar zero-day em MFT popular, explorar silenciosamente por dias ou semanas, depois anunciar e extorquir as vítimas de uma vez.

O tamanho do estrago: quem foi afetado

O impacto foi transversal a setores inteiros. Segundo a CISA, mais de 3.000 entidades americanas e 8.000 globalmente foram afetadas. Entre as vítimas confirmadas:

• BBC, British Airways, Boots e Aer Lingus — via comprometimento da empresa de folha de pagamento Zellis
• US Department of Energy e outros órgãos federais americanos
• Governo de Nova Scotia (Canadá) — estimativa de 100 mil funcionários afetados
• Bancos, seguradoras, hospitais e universidades nos EUA, Europa e Oceania

Os setores mais atingidos, conforme levantamento da Emsisoft: educação (39,1%), saúde (20,1%) e finanças e serviços profissionais (13,3%). No total, os dados pessoais de aproximadamente 93,3 milhões de indivíduos foram expostos — um número que coloca o MOVEit entre os maiores vazamentos da história em variedade de organizações afetadas, mesmo que em volume bruto de registros outros casos sejam maiores, como o vazamento do Canvas LMS pelo ShinyHunters com 275 milhões de registros.

A lição que três anos não apagaram

O caso MOVEit demonstrou em escala industrial algo que a indústria de segurança sabia teoricamente: a cadeia de fornecedores é tão segura quanto o elo mais fraco. Uma falha em um software de infraestrutura usado por terceiros se multiplica por todos os clientes desses terceiros, sem que a vítima final tenha controle ou sequer conhecimento da exposição — até receber o e-mail de extorsão.

Se você gerencia infraestrutura ou avalia riscos de terceiros, o MOVEit é o case que justifica perguntas difíceis para fornecedores: qual MFT vocês usam? Com que frequência aplicam patches críticos? Onde ficam os logs de acesso e quem os monitora?

Para times de resposta a incidentes, a comparação histórica é instrutiva: o ILOVEYOU infectou 45 milhões de PCs em horas — barulhento, imediato, fácil de detectar. O MOVEit foi o oposto: silencioso, cirúrgico, e o sinal de que algo havia dado errado para muitas organizações foi o próprio atacante entrando em contato para cobrar.

Se você passou por algum incidente envolvendo MFTs ou supply chain attacks na sua organização, conta nos comentários — cases reais ajudam muito quem está montando defesas hoje.