Cibercriminosos associados à China exploraram uma vulnerabilidade crítica no software de suporte remoto da BeyondTrust, permitindo invasões em servidores corporativos e controle total dos sistemas. Esta brecha, conhecida como “dia zero”, refere-se a falhas desconhecidas que são utilizadas antes que uma correção seja disponibilizada. A vulnerabilidade impactou ferramentas que equipes de tecnologia utilizam para acessar e resolver problemas em computadores remotamente.
A BeyondTrust anunciou, na quinta-feira (15), que conseguiu conter a invasão em menos de trinta minutos após detectar atividade suspeita em um de seus clientes. Segundo a empresa, a falha ocorreu porque um componente interno não validava corretamente a origem das mensagens recebidas, possibilitando que invasores realizassem operações de arquivo no dispositivo comprometido.
O ataque foi atribuído ao grupo Armory Castle, também conhecido como UNC5221 ou Warp Panda, que, de acordo com especialistas da Mandiant e do Google Threat Intelligence Group, elevou suas permissões no servidor invadido. Com acesso total, os hackers tentaram extrair senhas armazenadas, manipular rotas de rede interna e estabelecer meios para manter o acesso após reinicializações do sistema.
Para ocultar suas ações, os cibercriminosos utilizaram ferramentas personalizadas que criaram canais de navegação discretos e eliminaram registros de auditoria. Os analistas ressaltaram a sofisticação técnica do grupo, destacando seu profundo entendimento das estruturas internas do software da BeyondTrust.
Além disso, a BeyondTrust informou que atualizou automaticamente todos os clientes que utilizam seu serviço em nuvem. As organizações que operam servidores próprios precisam realizar a atualização manualmente para garantir a proteção. A empresa e os especialistas em segurança recomendam que qualquer servidor exposto à internet e que contenha a versão vulnerável seja tratado como potencialmente comprometido até que as verificações de segurança sejam concluídas.