Cibercriminosos vinculados à China exploraram uma vulnerabilidade grave e recém-revelada no software de suporte remoto da empresa de segurança BeyondTrust para invadir servidores e assumir o controle de sistemas corporativos. A invasão usou uma brecha “dia zero”, termo usado para designar falhas desconhecidas exploradas antes de qualquer correção. O problema afetou ferramentas usadas por equipes de tecnologia para acessar computadores e resolver problemas à distância. Diante da gravidade da situação, a fabricante lançou uma atualização de emergência para corrigir o sistema e orientou os clientes a aplicarem o ajuste o quanto antes.
A BeyondTrust confirmou o incidente, na quinta-feira (15), e informou que conteve o ataque em menos de meia hora após identificar a atividade suspeita em um cliente. “O componente interno não validava adequadamente a origem das mensagens recebidas. Sob as condições certas, isso poderia ser usado para realizar operações de arquivo no dispositivo”, declarou a equipe de segurança, em comunicado oficial sobre a vulnerabilidade.
A invasão foi realizada pelo grupo conhecido como Armory Castle, também identificado por consultorias de segurança como UNC5221 ou Warp Panda. Pesquisadores da Mandiant e do Google Threat Intelligence Group, braço de segurança do Google que investigou o caso, descobriram que os criminosos utilizaram o acesso inicial para elevar as permissões dentro do servidor afetado. Com o controle total da máquina, os invasores tentaram extrair senhas armazenadas, manipular rotas internas de rede e criar caminhos para manter o acesso mesmo após eventuais reinicializações do equipamento.
Para esconder as ações maliciosas, o coletivo usou ferramentas personalizadas para criar um canal discreto de navegação e apagou registros internos de auditoria. Segundo os analistas, o grupo demonstra alto conhecimento técnico dos sistemas que ataca:
“Durante a intrusão, o Armory Castle usou um conhecimento profundo das estruturas internas do dispositivo BeyondTrust, conforme evidenciado pelo abuso de utilitários proprietários”, afirmaram Jayson Frost, Bryce Greathouse, Brian Meyer, John Palmisano, Rajesh Rajeshirke, Steve Rasch e John Wolfram, no relatório técnico conjunto.
Ainda no comunicado oficial, a empresa informou que atualizou automaticamente todos os clientes que utilizam o serviço em nuvem. As organizações que mantêm o sistema instalado em servidores próprios precisam, no entanto, realizar o processo de atualização manualmente para garantir a proteção. A recomendação da BeyondTrust e dos analistas de segurança é que qualquer servidor exposto à internet que rodava a versão vulnerável seja revisado e tratado como potencialmente comprometido até que todas as verificações de segurança sejam concluídas.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.