O grupo ShinyHunters invadiu o site de vazamento do Clop explorando uma falha de path traversal não corrigida no Grav CMS, permitindo acesso não autenticado aos servidores. A vulnerabilidade afeta versões desatualizadas do sistema de gerenciamento de conteúdo e expôs dados sensíveis da operação de ransomware, forçando a mudança do endereço Tor do servidor de vazamento.
A invasão do Grav e o ataque ao Clop
O Grav, sistema de gerenciamento de conteúdo baseado em arquivos populares em ambientes de baixo custo, continha um ponto fraco crítico: a falha de path traversal permitia que um atacante navegasse por diretórios protegidos sem precisar fazer login. ShinyHunters explorou exatamente isso para comprometer a infraestrutura do Clop.
A vulnerabilidade afeta especificamente versões antigas do Grav que não receberam patches de segurança. Não há autenticação requerida para exploração, o que torna o vetor de ataque extremamente prático para criminosos em busca de alvos desprotegidos. Segundo o relatório obtido pelo BleepingComputer, o acesso não autorizado resultou em desfiguração do site e exposição de arquivos internos.
O Clop, conhecido por seus ataques de ransomware contra grandes corporações, mantinha dados roubados naquele servidor — uma cópia de segurança descentralizada para pressionar vítimas. A invasão forçou a mudança imediata para um novo endereço Tor, uma ação emergencial típica quando infraestrutura criminosa é comprometida.
Por que Grav ficou vulnerável por tanto tempo
Muitos administradores não atualizam o Grav regularmente porque consideram um CMS “menor” ou menos crítico que alternativas como WordPress. Dessa forma, patches importantes acumulam-se sem serem instalados. Além disso, a documentação de segurança do Grav não é tão divulgada quanto a de concorrentes maiores, deixando gestores desatentos quanto a riscos reais.
A falha de path traversal no Grav não é isolada — é um padrão em sistemas leves que priorizam rapidez sobre segurança desde o desenho. Quando combinada com a falta de autenticação, torna-se um portão aberto para qualquer pessoa com conhecimento técnico básico.
Conforme demonstrou este caso, até mesmo grupos criminosos especializados em ransomware gastam tempo vasculhando código-fonte de sistemas conhecidos em busca de brechas. Uma falha não corrigida em Grav virou ferramenta de inteligência competitiva no mundo do crime cibernético.
Lições para administradores e organizações
Três pontos práticos saem dessa invasão:
- Atualize religiosamente — patches de path traversal devem ser aplicados dentro de dias, não meses.
- Audite suas dependências — CMS menores exigem vigilância redobrada porque têm menos olhos públicos.
- Isole servidores de vazamento — se você opera um site de dados, pelo menos use segmentação de rede e autenticação multifator em camadas.
Para quem usa Grav em produção, consulte a documentação oficial do projeto para verificar se há patches pendentes. O PratiqueTech já abordou em outras análises como falhas em sistemas menores costumam ser negligenciadas até gerarem dano real.
O incidente também reforça que infraestrutura criminosa segue as mesmas práticas amador de TI que empresas legítimas — muitas vezes pior. Uma organização séria teria auditado e patcheado o Grav há anos. O Clop não fez, e perdeu acesso a seus próprios dados roubados.
Perguntas frequentes
O que é path traversal em CMS?
Path traversal é uma vulnerabilidade que permite navegar para fora do diretório intencional do site, acessando arquivos do sistema operacional ou configurações protegidas. No Grav, ocorria sem exigir senha, tornando a invasão trivial.
Qual versão do Grav foi afetada?
Versões antigas não especificadas publicamente pelo Grav recebem patches regularmente. Se seu Grav não foi atualizado nos últimos 12 meses, recomenda-se atualizar imediatamente e revisar logs de acesso.
Como ShinyHunters descobriu essa falha?
Provavelmente fizeram análise de código-fonte público do Grav ou testaram sistematicamente versões antigas conhecidas. Grupos sofisticados mantêm bancos de dados de CVEs não divulgadas contra sistemas menores.
Isso afeta WordPress ou Drupal?
Path traversals em sistemas maiores são descobertos e patcheados mais rápido porque tem mais pesquisadores analisando código. Grav sofre por ser menor — menos visibilidade, mais negligência administrativa.
Como proteger um servidor Grav hoje?
Atualize para a versão mais recente, aplique autenticação em todas as rotas administrativas, use WAF (firewall de aplicação web) e monitore logs. Se Grav não é essencial, considere migrar para WordPress com plugins auditados.
Se você mantém infraestrutura em produção ou testa segurança de redes e aplicações, ferramentas de validação e análise como o validador de JSON ajudam a inspecionar configurações mal formatadas que podem expor vulnerabilidades — um passo importante antes de patches de segurança.
