Falhas de 2014 ainda abrem portas a prestador chinês

Sete domínios apreendidos, sete governos assinam

A 8 de outubro, o FBI anunciou a apreensão de sete domínios web ligados a ferramentas de pirataria que, segundo documentos judiciais norte-americanos, eram operadas pela Integrity Technology Group, uma empresa sediada na China que, segundo as agências, tem ligações ao Governo chinês. Em simultâneo, agências de sete países publicaram um único aviso, com o número AA26-281A.

Os autores são o FBI, a CISA e a NSA nos Estados Unidos, o NCSC do Reino Unido, o ACSC da Austrália, o Cyber Centre do Canadá, a Polícia Nacional e o Gabinete Nacional de Cibersegurança do Japão, o NCSC da Nova Zelândia e o CNI de Espanha. Dizem que os atores apoiados pela Integrity Tech combinam análise automatizada, grandes botnets e exploração manual para roubar dados, e que a atividade corresponde ao que é acompanhado publicamente como Flax Typhoon, Ethereal Panda e Red Juliett. O NCSC acrescenta que o Governo britânico sancionou a Integrity Tech no ano passado.

Os documentos judiciais alegam que a Integrity Tech construiu uma botnet baseada numa variante do Mirai e o analisador de vulnerabilidades Microscan, operou uma ferramenta chamada FishHub e tem contratos com o Governo chinês. Acrescentam que um servidor de base de dados continha registos de mais de 1,2 milhões de dispositivos infetados a 5 de junho de 2024, mais de 385 000 dos quais nos Estados Unidos.

A falha mais antiga da lista é de 2014

Oito CVE surgem no aviso como exploradas com êxito, e quatro delas têm um número de 2014, 2015 ou 2016.

O aviso diz que estas CVE foram recuperadas dos scripts de testes de intrusão do analisador e foram exploradas com êxito. Nada na lista exige um exploit novo. Exige software que ninguém corrigiu, acessível a partir da internet, e o Microscan, em uso desde 2017 pelo menos, traz mais de 1300 scripts desse tipo.

Como os atores entram e ficam

O aviso descreve uma cadeia curta que começa com uma análise. Ferramentas como o nmap e o masscan examinam as portas 21, 22, 53, 80, 443 e 1080, e os atores exploram depois o que encontram ou recolhem palavras-passe com código de cross-site scripting que mostra uma falsa caixa de início de sessão.

Para o correio eletrónico usam uma ferramenta de código aberto chamada EBurst para pulverizar e adivinhar palavras-passe nas interfaces de acesso do Microsoft Exchange, entre as quais o Outlook Web Access, o Exchange Web Services e o Autodiscover. Para persistir instalam clientes VPN SoftEther, muitas vezes com nomes como conhost.exe ou dllhost.exe, que a segurança dos terminais assinala menos porque o programa é legítimo. Depois, scripts extraem mensagens e credenciais.

O que verificar esta semana

Comece pela exposição, porque cada passo acima parte de algo acessível a partir da internet. Liste o que responde nas portas 21, 22, 53, 80, 443 e 1080 e feche o que ninguém usa, a primeira ação recomendada pelo aviso.

Depois compare o seu software com a tabela. Se executa ProFTPD, BIND, Apache Struts, Pulse Connect Secure, GitLab, ONLYOFFICE DocumentServer, Strapi ou um Bash sem correções, verifique a versão e corrija-o ou retire-o. O aviso também recomenda substituir produtos em fim de vida.

Por fim, exija autenticação multifator nos acessos ao webmail e à VPN, que o aviso destaca, e reveja os registos das aplicações web à procura de tentativas de travessia de diretórios, injeção de comandos e enumeração. Para as organizações do Reino Unido e da UE, o sinal é que o NCSC e o CNI de Espanha o cossignaram e que documentos judiciais citam um aeroporto polaco entre as redes analisadas, pelo que não é apenas uma história norte-americana.

Leia a seguir: Alemanha fixa 2030 e 2035 como prazos quânticos  |  O terceiro dia zero da NetScaler em 90 dias