Hackers Chineses Invadem Servidores: Aja Antes Que Seja Tarde

Uma falha crítica no BeyondTrust Remote Support foi explorada por hackers ligados à China para invadir servidores em todo o mundo. O grupo Armory Castle, também conhecido como UNC5221 ou Warp Panda, usou uma vulnerabilidade zero-day para comprometer sistemas de suporte remoto. A ação começou em agosto de 2026, antes mesmo da divulgação pública da falha.

O Ataque em Detalhes: CVE-2026-102764

A vulnerabilidade, rastreada como CVE-2026-102764, recebeu pontuação 9,3 no CVSS — considerada crítica. O problema está na validação inadequada da origem de mensagens em componentes internos da plataforma. Isso permitiu que invasores remotos executassem operações sobre arquivos do equipamento afetado.

A BeyondTrust confirmou que os componentes vulneráveis não verificavam adequadamente a procedência das mensagens. Assim, solicitações maliciosas eram processadas pelo sistema sem barreiras. A correção foi distribuída para clientes SaaS até 9 de outubro de 2026. Já instalações próprias nas versões 24.3.1 até 26.2.3 exigem aplicação manual do patch BT26-05-RS.

Quem Está por Trás do Ataque?

O grupo Armory Castle está ativo desde outubro de 2023. Eles têm histórico de explorar vulnerabilidades zero-day em equipamentos de acesso remoto e segurança de redes. Entre as falhas anteriores exploradas estão a CVE-2023-4966 no Citrix NetScaler e as CVE-2023-46805, CVE-2024-21887 e CVE-2025-0282 no Ivanti Connect Secure.

As campanhas do grupo atingiram organizações dos setores jurídico, tecnológico, governamental, provedores SaaS e empresas de terceirização. O foco é a coleta prolongada de informações.

Malware SAWFLY e BARECLAW: As Armas dos Invasores

Após explorar a falha, os invasores instalaram um web shell PHP chamado SAWFLY. Esse malware permite acesso remoto interativo e comunicação criptografada com servidores de comando e controle. Para ocultar atividades, usam VPNs comerciais e roteadores comprometidos.

Outra ferramenta identificada foi o BARECLAW, um proxy SOCKS5 em linguagem C. Ele permite movimentação lateral pela rede, usando o equipamento comprometido como intermediário. Os invasores modificaram o arquivo /ns/config/haproxy.conf para expor esse canal à internet.

Técnicas de Persistência e Roubo de Credenciais

Os atacantes copiaram o executável /bin/sh para /usr/bin/dbus-authd, alteraram a propriedade para root e ativaram a permissão SUID. Isso garantiu privilégios elevados. Também tentaram extrair segredos do banco de dados com o utilitário /ns/sbin/bt-secrets.

Com credenciais administrativas, acessaram o Remote Support e iniciaram sessões remotas em sistemas registrados. O objetivo era buscar documentos confidenciais e exfiltrar dados.

O Perigo dos Servidores Expostos e o Golpe do Falso Suporte

Servidores de suporte remoto expostos à internet são alvos críticos. Eles possuem permissões amplas para acessar diversos endpoints. Uma invasão nesses sistemas pode levar a comprometimento total da infraestrutura.

Esse cenário se conecta ao golpe do falso suporte técnico. Criminosos se aproveitam da confiança em ferramentas legítimas para enganar vítimas. Eles ligam ou enviam mensagens se passando por suporte de empresas conhecidas. Pedem acesso remoto ao computador da vítima, usando softwares como o BeyondTrust. Uma vez conectados, roubam dados, instalam malware ou exigem pagamento.

Com a exploração da falha no BeyondTrust, o risco aumenta. Hackers podem usar servidores comprometidos para lançar ataques de phishing ou se passar por suporte legítimo. A recomendação é clara: nunca conceda acesso remoto a desconhecidos. Verifique sempre a identidade do solicitante por canais oficiais.

Como se Proteger Agora

Se sua organização usa BeyondTrust Remote Support, aplique o patch imediatamente. Para versões anteriores à 24.3.1, atualize antes de corrigir. Além disso, investigue qualquer equipamento exposto durante o período de exploração. Procure por alterações em arquivos de configuração, mecanismos de persistência e acessos indevidos.

Para indivíduos, a lição é dupla: desconfie de contatos não solicitados e monitore seus dados. Vazamentos de credenciais podem ser usados em golpes de suporte falso. Se seus dados já vazaram, os criminosos têm mais munição para enganar você.

Tabela: Impacto e Ações Recomendadas

FAQ: Perguntas Frequentes

O que é a vulnerabilidade CVE-2026-102764?

É uma falha crítica no BeyondTrust Remote Support que permite a invasores remotos executar operações sobre arquivos do sistema. Ela foi explorada pelo grupo Armory Castle antes da divulgação pública.

Como sei se meu servidor foi comprometido?

Procure por alterações em arquivos de configuração, como /ns/config/haproxy.conf, presença de web shells como SAWFLY, e acessos administrativos não autorizados. Uma investigação forense é recomendada.

O golpe do falso suporte técnico está relacionado a esse ataque?

Sim. Hackers podem usar servidores comprometidos para se passar por suporte legítimo e enganar vítimas. Por isso, é crucial nunca conceder acesso remoto sem verificação rigorosa.

Fonte: CyberSec Brazil

Não espere ser a próxima vítima. Verifique agora se seus dados vazaram e monitore sua identidade digital com a Kzarka. Aja antes que seja tarde.