Credenciais vazadas de firewalls e VPNs: o risco do smishing
Uma investigação conjunta conduzida pela Group-IB e pela NyxLab revelou uma campanha massiva de exploração de dispositivos de borda, como firewalls Fortinet FortiGate e Palo Alto Networks GlobalProtect. O ator de ameaça, identificado como k0t, obteve acesso a mais de 70.000 credenciais corporativas, incluindo dados de diretórios LDAP, ampliando significativamente o risco de ataques secundários, como o smishing.
O caso, detalhado em artigo do The Hacker News, demonstra como a exposição de infraestrutura crítica pode desencadear uma cadeia de comprometimento que vai muito além do acesso inicial. A partir das credenciais vazadas, cibercriminosos podem direcionar ataques de engenharia social altamente personalizados, explorando a confiança do usuário em comunicações aparentemente legítimas.
Anatomia da campanha: exploração em larga escala
A operação do k0t seguiu um padrão metódico, iniciando com a enumeração de dispositivos expostos via ferramentas como FOFA e ZoomEye. O ator priorizou alvos geográficos, com foco em Estados Unidos, Canadá e mercados selecionados da Ásia-Pacífico, demonstrando uma abordagem oportunista baseada na exposição de dispositivos, e não no setor da vítima.
As vulnerabilidades exploradas incluem CVE-2025-64446 (path traversal no FortiWeb) e CVE-2026-0257 (bypass de autenticação no PAN-OS), além de ataques de força bruta com credenciais padrão. Após o acesso inicial, o ator estabeleceu persistência com ferramentas legítimas de acesso remoto, como MeshCentral e AnyDesk, e exfiltrou dados via Rclone para buckets S3 e MEGA.
A conexão do k0t com grupos de ransomware como Qilin e The Gentlemen sugere que as credenciais roubadas podem ser monetizadas em fóruns underground ou usadas para extorsão direta. A sobreposição com a campanha FortiBleed indica um ecossistema de atores explorando as mesmas vulnerabilidades, mas com conjuntos de dados distintos.
Indicadores de comprometimento (IOCs) e riscos associados
A análise técnica da campanha revelou diversos artefatos que podem auxiliar equipes de segurança na detecção e resposta. A tabela abaixo resume os principais IOCs e os riscos correspondentes:
| Indicador de Comprometimento (IOC) | Tipo | Risco Associado |
|---|---|---|
| Scripts Python "fortnew.py" e "exploit20260257.py" | Arquivo malicioso | Exploração de vulnerabilidades para acesso inicial |
| Uso de OpenConnect VPN para conexão | Rede | Estabelecimento de túnel criptografado para C2 |
| Implantação de MeshCentral Agent, Atera, Teramind, AnyDesk | Ferramenta de acesso remoto | Persistência e controle remoto |
| AdaptixC2 (framework de emulação de adversário) | Comando e controle | Execução de pós-exploração |
| Exfiltração via Rclone para Wasabi S3 e MEGA | Transferência de dados | Perda de confidencialidade de dados |
| Uso de NetExec, Impacket, Mimikatz | Ferramentas de movimento lateral | Escalação de privilégios e coleta de credenciais |
Além dos IOCs técnicos, a campanha resultou no vazamento de mais de 70.000 credenciais de dispositivos de rede e dumps LDAP. Esses dados, quando combinados com informações pessoais obtidas em outras fontes, permitem a criação de perfis detalhados das vítimas, aumentando a eficácia de ataques de engenharia social.
Smishing: a ameaça silenciosa após o vazamento
O smishing (phishing por SMS) é uma consequência direta e subestimada de vazamentos de credenciais. Com números de telefone e informações corporativas em mãos, criminosos podem enviar mensagens fraudulentas que parecem legítimas, induzindo a vítima a clicar em links maliciosos ou fornecer dados adicionais.
Em um cenário pós-vazamento, o smishing pode ser usado para:
- Engenharia social direcionada: mensagens personalizadas mencionando o nome da empresa, cargo ou até mesmo detalhes técnicos obtidos no vazamento, aumentando a credibilidade.
- Distribuição de malware: links que instalam trojans bancários ou spyware no dispositivo móvel, comprometendo ainda mais a segurança.
- Roubo de credenciais adicionais: páginas falsas de login que capturam senhas de e-mail, bancos ou serviços em nuvem.
A relação entre o vazamento de firewalls e o smishing é direta: as credenciais corporativas comprometidas podem incluir números de telefone de funcionários, e-mails e até mesmo informações sobre a infraestrutura interna, que são usadas para criar mensagens convincentes. Por exemplo, um funcionário pode receber um SMS falso alertando sobre uma atualização de segurança do firewall, com um link que leva a uma página de phishing.
Como se proteger do smishing pós-vazamento
Para mitigar o risco de smishing após um vazamento de credenciais, as organizações devem adotar uma abordagem proativa:
- Eduque os funcionários: treinamentos regulares de conscientização sobre segurança, com exemplos reais de smishing e simulações de ataques.
- Implemente autenticação multifator (MFA): mesmo que as credenciais sejam comprometidas, a MFA adiciona uma camada extra de proteção.
- Monitore ativamente a dark web: utilize serviços de monitoramento de vazamentos, como a Kzarka, para detectar exposição de credenciais e números de telefone.
- Estabeleça um canal de comunicação seguro: informe aos funcionários como a empresa se comunicará oficialmente, para que possam identificar mensagens suspeitas.
- Atualize e corrija sistemas: aplique patches para as vulnerabilidades exploradas (CVE-2025-64446 e CVE-2026-0257) e desative serviços desnecessários.
Resposta a incidentes e proteção corporativa
A resposta a incidentes deve ser imediata e estruturada. As equipes de segurança devem:
- Isolar os sistemas afetados: desconectar dispositivos comprometidos da rede para conter a propagação.
- Realizar análise forense: identificar a extensão do comprometimento, incluindo quais dados foram exfiltrados.
- Notificar as partes interessadas: comunicar o incidente a clientes, parceiros e autoridades, conforme exigido por regulamentações como a LGPD.
- Revisar políticas de segurança: fortalecer controles de acesso, segmentação de rede e monitoramento contínuo.
Além disso, a integração de inteligência de ameaças com fontes como a Group-IB e a NyxLab pode fornecer insights valiosos sobre as táticas do ator, permitindo uma defesa mais eficaz.
Conclusão: a vigilância contínua é essencial
A campanha do k0t é um lembrete contundente de que a segurança de dispositivos de borda é crítica para a proteção de dados corporativos. O vazamento de 70.000 credenciais não é apenas um número; representa milhares de potenciais vítimas de ataques secundários, como o smishing, que podem causar danos financeiros e reputacionais significativos.
Para indivíduos e organizações, a melhor defesa é a prevenção e o monitoramento proativo. Verifique se suas credenciais foram expostas em vazamentos e monitore continuamente sua identidade digital. A Kzarka oferece uma plataforma avançada de monitoramento de vazamentos de dados e proteção contra roubo de identidade, permitindo que você aja rapidamente diante de qualquer exposição.
Não espere ser a próxima vítima. Acesse a Kzarka agora e descubra se seus dados estão seguros.
Perguntas Frequentes (FAQ)
O que é smishing e como ele se relaciona com vazamentos de credenciais?
Smishing é uma forma de phishing que utiliza mensagens SMS para enganar vítimas. Após um vazamento de credenciais, criminosos podem obter números de telefone e informações pessoais, tornando as mensagens de smishing mais convincentes e direcionadas.
Como posso saber se minhas credenciais foram vazadas?
Você pode utilizar serviços de monitoramento de vazamentos, como a Kzarka, que verificam continuamente se suas informações aparecem em bancos de dados expostos ou na dark web.
Quais são os primeiros passos após descobrir um vazamento de credenciais?
Imediatamente altere as senhas de todas as contas afetadas, ative a autenticação multifator, monitore suas contas bancárias e de e-mail para atividades suspeitas, e considere congelar seu crédito se informações financeiras foram expostas.
Como as empresas podem prevenir ataques como o da campanha k0t?
As empresas devem manter sistemas atualizados com patches de segurança, implementar autenticação forte, segmentar redes para limitar o movimento lateral, monitorar tráfego de rede para detectar atividades anômalas e treinar funcionários regularmente sobre segurança da informação.