Cibercriminosos supostamente ligados à China exploraram uma vulnerabilidade grave em um software de suporte remoto da BeyondTrust para invadir servidores e assumir o controle de sistemas corporativos. A invasão utilizou uma brecha classificada como “dia zero”, termo que designa falhas desconhecidas e exploradas antes de qualquer correção. O problema afetou ferramentas utilizadas por equipes de tecnologia para acessar computadores e solucionar problemas à distância.

Diante da seriedade da situação, a fabricante lançou uma atualização de emergência para corrigir o sistema e aconselhou seus clientes a aplicarem o ajuste imediatamente. A BeyondTrust confirmou o incidente na quinta-feira (15), afirmando que o ataque foi contido em menos de meia hora após a identificação de atividade suspeita em um cliente. A equipe de segurança da empresa declarou que o componente interno não validava adequadamente a origem das mensagens recebidas, o que poderia ser usado para realizar operações de arquivo no dispositivo.

Detalhes do Ataque e Ações dos Invasores

A invasão foi perpetrada pelo grupo conhecido como Armory Castle, também identificado por consultorias de segurança como UNC5221 ou Warp Panda. Pesquisadores da Mandiant e do Google Threat Intelligence Group, braço de segurança do Google que investigou o caso, descobriram que os criminosos usaram o acesso inicial para elevar as permissões dentro do servidor afetado. Com o controle total da máquina, os invasores tentaram extrair senhas armazenadas, manipular rotas internas de rede e criar caminhos para manter o acesso mesmo após eventuais reinicializações do equipamento.

Para ocultar suas ações, o coletivo empregou ferramentas personalizadas para criar um canal de navegação discreto e apagou registros internos de auditoria. Analistas afirmam que o grupo demonstra um alto conhecimento técnico dos sistemas que ataca, evidenciado pelo abuso de utilitários proprietários da BeyondTrust, conforme detalhado por Jayson Frost, Bryce Greathouse, Brian Meyer, John Palmisano, Rajesh Rajeshirke, Steve Rasch e John Wolfram em um relatório técnico conjunto.

Recomendações de Segurança

A BeyondTrust informou que todos os clientes que utilizam o serviço em nuvem tiveram seus sistemas atualizados automaticamente. Contudo, as organizações que mantêm o sistema instalado em servidores próprios precisam realizar o processo de atualização manualmente para garantir a proteção. A recomendação da BeyondTrust e dos analistas de segurança é que qualquer servidor exposto à internet que operava com a versão vulnerável seja revisado e tratado como potencialmente comprometido até que todas as verificações de segurança sejam concluídas.