{"id":40323,"date":"2025-03-26T10:40:22","date_gmt":"2025-03-26T13:40:22","guid":{"rendered":"https:\/\/tiproject.online\/index.php\/2025\/03\/26\/se-a-oracle-me-pagar-teremos-um-final-feliz-diz-hacker-que-chantageia-empresa\/"},"modified":"2025-03-26T10:40:22","modified_gmt":"2025-03-26T13:40:22","slug":"se-a-oracle-me-pagar-teremos-um-final-feliz-diz-hacker-que-chantageia-empresa","status":"publish","type":"post","link":"https:\/\/tiproject.online\/index.php\/2025\/03\/26\/se-a-oracle-me-pagar-teremos-um-final-feliz-diz-hacker-que-chantageia-empresa\/","title":{"rendered":"\u2018Se a Oracle me pagar, teremos um final feliz\u2019, diz hacker que chantageia empresa"},"content":{"rendered":"

<\/p>\n

\n

A Oracle teve os supostos dados de clientes e funcion\u00e1rios vazados em f\u00f3rum cibercriminoso na \u00faltima sexta-feira<\/a> (20). A alega\u00e7\u00e3o indica que os dados compreendem registros de seis milh\u00f5es de pessoas; o Brasil seria um dos pa\u00edses mais afetados<\/strong>.<\/p>\n

Para rebater as not\u00edcias iniciais do caso, a Oracle divulgou um posicionamento ao Bleeping Computer<\/a> no qual nega qualquer tipo de invas\u00e3o em seus sistemas. Por\u00e9m, o caso ganhou novos contornos com supostas provas, imagens e v\u00eddeos que comprovariam o ataque cibern\u00e9tico.<\/p>\n

O ataque foi realizado por um cibercriminoso conhecido como \u201cRose87168\u201d, que j\u00e1 esteve ligado a outros incidentes cibern\u00e9ticos, como um que envolveu a DHL \u2014 notamos aqui<\/a>.<\/p>\n

Para entender mais detalhes sobre a a\u00e7\u00e3o, entrei em contato com a Oracle<\/strong> e busquei informa\u00e7\u00f5es sobre os atingidos. Ao mesmo tempo, fiz contato com o cibercriminoso \u201cRose87168\u201d<\/strong> para entender um pouco mais de seu perfil e se h\u00e1 alguma motiva\u00e7\u00e3o al\u00e9m de dinheiro.<\/p>\n

Sobre a Oracle, a empresa n\u00e3o est\u00e1 respondendo mais contatos de imprensa<\/strong>, o que costumeiramente tem um significado quando analisamos casos similares: o posicionamento pode mudar em breve.<\/p>\n

J\u00e1 sobre \u201cRose87168\u201d, conversamos via chat Matrix ap\u00f3s abordagem no X. Rose deixou claro que n\u00e3o gostaria que nosso papo fosse apresentado de modo texto corrido, uma entrevista padr\u00e3o, ou que prints da conversa fossem publicados \u2014 deixando apenas nosso relato sobre o contato.<\/p>\n

\"26094114889017
Abordagem inicial com Rose<\/figcaption><\/figure>\n

Conversa com um cibercriminoso<\/h2>\n

Diferentemente de outros atacantes com quem costumo conversar em investidas cibern\u00e9ticas em \u2018solo\u2019 brasileiro, Rose n\u00e3o tem qualquer reivindica\u00e7\u00e3o a ser feita ou trabalho hackativista.<\/p>\n

Relembrando casos como o vazamento recente que envolveu o Banco Neon<\/a>, o atacante buscava mais reconhecimento em programas de bug bounty no Brasil e, segundo ele, seu foco n\u00e3o era o dinheiro, o que traz essa veia mais hackativista.<\/p>\n

Rose, pelo contr\u00e1rio, tem uma linha clara: chantagem para ganhar algum dinheiro. O crime pelo ganho.<\/p>\n

At\u00e9 por isso, o cibercriminoso n\u00e3o deu muito espa\u00e7o ao responder perguntas \u2014 deixando algumas respostas bem vagas. Mesmo assim, consegui estabelecer alguns pontos: \u201cRose87168\u201d \u00e9 um \u201clobo solit\u00e1rio”, n\u00e3o faz parte de nenhum grupo<\/strong>.<\/p>\n

Ele tamb\u00e9m n\u00e3o recebeu qualquer informa\u00e7\u00e3o \u201cdiscreta\u201d sobre uma suposta vulnerabilidade RCE (execu\u00e7\u00e3o remota de c\u00f3digo) na Oracle \u2014 encontrou sozinho. Tamb\u00e9m nota que a empresa sofreu o vazamento porque n\u00e3o atualizou ou instalou qualquer patch no servidor com a falha.<\/p>\n

\u201cAp\u00f3s eu encontrar o CVE (Common Vulnerabilities and Exposures, identificador usado para catalogar vulnerabilidades), fiz mais algumas pesquisas e escrevi a PoC (Prova de Conceito, ferramenta que permite identificar erros t\u00e9cnicos)\u201d, disse.<\/p>\n

Rose entrou em contato com a Oracle duas semanas antes de realizar o vazamento em f\u00f3rum na \u00faltima sexta-feira (20). Segundo ele, a empresa aceitou pagar os US$ 20 milh\u00f5es ou 100 mil XMR (Monero) pedidos como \u201cresgate\u201d.<\/p>\n

Por\u00e9m, o contato e o aceite da Oracle supostamente aconteceu por meio de um email n\u00e3o oficial. O cibercriminoso comenta que a empresa tomou essa decis\u00e3o porque provavelmente j\u00e1 sabia que n\u00e3o iria pagar ou para fugir de uma poss\u00edvel san\u00e7\u00e3o da GDPR (Regulamento Geral de Prote\u00e7\u00e3o de Dados da Europa, similar \u00e0 LGPD no Brasil).<\/p>\n

Vou notar aqui, apenas, que a Oracle \u00e9 uma companhia norte-americana \u2014 apenas em casos espec\u00edficos a GDPR se aplicaria.<\/p>\n

Rose tamb\u00e9m adiciona que a Oracle fez algumas corre\u00e7\u00f5es sobre a vulnerabilidade ap\u00f3s a troca de emails e depois come\u00e7ou a ignor\u00e1-lo. \u201cAp\u00f3s negar o leak, eu penso que usaram emails falsos para n\u00e3o terem qualquer documenta\u00e7\u00e3o de nosso contato\u201d, finalizou.<\/p>\n

\u201cRose87168\u201d \u00e9 um cibercriminoso com motiva\u00e7\u00e3o direta sem distra\u00e7\u00f5es. Perguntei como est\u00e1 o resultado dessa a\u00e7\u00e3o e ele comentou que j\u00e1 \u00e9 pago por algumas empresas para remover informa\u00e7\u00f5es vazadas em consequ\u00eancia desse ataque. Quantas e quais? N\u00e3o obtive a informa\u00e7\u00e3o.<\/p>\n

\u201cNo final das contas, se a Oracle me pagar discretamente, teremos um final feliz\u201d, foi sua \u00faltima mensagem. \u201cDe outro modo, vou vender para quem tiver o dinheiro\u201d.<\/p>\n

Acredito na import\u00e2ncia de perfilar o ator. Isso \u00e9 v\u00e1lido em diversos n\u00edveis e impacta tanto sociedade quanto empresas e autoridades. Fiz dezenas de perguntas voltadas ao perfil de \u201cRose87168\u201d \u2014 eu queria entender mais sobre com quem estava conversando. Todas as minhas perguntas foram respondidas com um largo sorriso.<\/p>\n

\"26094440746022
Conversa com Rose<\/figcaption><\/figure>\n

Vamos falar sobre a vulnerabilidade<\/h3>\n

At\u00e9 agora, poucas an\u00e1lises mergulharam no caso Oracle. As duas principais s\u00e3o encabe\u00e7adas pela empresa brasileira ZenoX<\/a> e pela asi\u00e1tica CloudSek, de Singapura.<\/p>\n

Vou citar abaixo alguns trechos das an\u00e1lises que refor\u00e7am a veracidade do ataque, batendo de frente com o posicionamento inicial da Oracle. Exatamente pelos pontos citados a seguir, continuamos esperando um novo posicionamento da empresa.<\/p>\n

CloudSek:<\/a> \u201cEmbora o agente da amea\u00e7a tenha conseguido compartilhar uma lista de amostra de clientes, ele tamb\u00e9m forneceu evid\u00eancias do ataque enviando um arquivo criado em “login.us2.oraclecloud.com” e arquivando a URL p\u00fablica, com o email do invasor dentro do arquivo de texto. O servidor, que parecia ser um servi\u00e7o SSO, estava ativo h\u00e1 aproximadamente 30 dias. Isso est\u00e1 de acordo com as alega\u00e7\u00f5es do atacante de que o servidor alvo foi derrubado pela Oracle algumas semanas antes da viola\u00e7\u00e3o (…).<\/p>\n

O atacante agora compartilhou uma amostra de 10 mil linhas para comprovar ainda mais suas alega\u00e7\u00f5es. Nossa an\u00e1lise deste conjunto de dados revelou v\u00e1rios insights cr\u00edticos:<\/p>\n