Uma vulnerabilidade zero-day recém-divulgada no sistema de gerenciamento de aprendizagem (LMS) KnowledgeDeliver está sendo explorada ativamente em ambiente real para implantar o web shell BLUEBEAM, conforme revelaram as descobertas da equipe de resposta a incidentes da Mandiant. A falha, rastreada como CVE-2026-5426, permite execução remota de código (RCE) sem autenticação e afeta implantações que confiavam em configurações padrão do ASP.NET anteriores a 24 de fevereiro de 2026.
Descoberta e escopo da vulnerabilidade
O KnowledgeDeliver, desenvolvido pela empresa japonesa Digital Knowledge, é amplamente utilizado em ambientes corporativos e educacionais. A investigação da Mandiant sobre uma violação ocorrida no final de 2025 revelou que a causa raiz do comprometimento decorria de práticas criptográficas inseguras, especificamente a reutilização de chaves de máquina ASP.NET idênticas em múltiplas instalações de clientes. Essas chaves são responsáveis por proteger os dados do ViewState, um mecanismo que preserva o estado da página entre solicitações em aplicativos ASP.NET.
Devido aos valores de machineKey serem codificados e compartilhados, atacantes que obtiveram essas chaves de uma única instância puderam forjar payloads maliciosos de ViewState e reutilizá-los em outros servidores expostos. Ao criar um payload serializado e entregá-lo por meio do parâmetro __VIEWSTATE em solicitações HTTP, o ator da ameaça forçou o servidor a desserializar dados não confiáveis, efetivamente alcançando a execução remota de código.
Essa cadeia de ataque espelha de perto ataques de desserialização de ViewState anteriormente documentados observados em plataformas como o Sitecore e campanhas anteriores destacadas pela Microsoft envolvendo chaves de máquina expostas. A natureza da falha destaca um risco sistêmico imposto por segredos compartilhados em modelos de implantação de software, onde uma única chave exposta pode se transformar em um comprometimento generalizado em organizações não relacionadas.
Operação do web shell BLUEBEAM
Após o acesso inicial, o atacante implantou o BLUEBEAM, um web shell baseado em .NET também conhecido como Godzilla. Diferente dos web shells tradicionais que dependem de arquivos armazenados em disco, o BLUEBEAM opera inteiramente na memória dentro do processo de trabalhador do IIS (w3wp.exe), reduzindo significativamente sua pegada forense. O malware se comunica por meio de solicitações HTTP POST criptografadas, permitindo que os atacantes executem comandos, façam upload de payloads e mantenham persistência sem acionar mecanismos de detecção convencionais baseados em arquivos.
A intrusão não parou no acesso ao lado do servidor. A Mandiant observou o atacante modificando permissões do sistema de arquivos usando o comando icacls para conceder direitos de acesso amplos, efetivamente enfraquecendo os controles de segurança no host comprometido. Além disso, arquivos JavaScript legítimos dentro do LMS foram adulterados para injetar código malicioso. Esse código exibia um alerta de segurança fraudulento, solicitando que os usuários instalassem um plugin de autenticação supostamente necessário, enquanto simultaneamente carregava scripts externos de infraestrutura controlada pelo atacante.
Componente de engenharia social e infecções subsequentes
Esse componente de engenharia social levou a infecções subsequentes. Usuários que baixaram o plugin falso foram infectados com um payload Cobalt Strike Beacon, um framework de pós-exploração amplamente abusado. Notavelmente, o payload foi criptografado com uma chave derivada do nome da organização vítima, indicando reconhecimento direcionado e pré-comprometimento pelo ator da ameaça. Isso sugere que os atacantes realizaram uma análise prévia das vítimas para personalizar os payloads, aumentando as chances de sucesso na execução.
Evidências e limites da detecção
Oportunidades de detecção para essa atividade existem, mas exigem monitoramento cuidadoso do comportamento do aplicativo e do sistema. Os logs de aplicativos do Windows podem conter entradas de ID de Evento 1316 do ASP.NET indicando falhas de validação do ViewState ou anomalias. Em alguns casos, payloads criados com sucesso geraram erros de "ViewState inválido" que ainda resultaram em tentativas de desserialização. A Mandiant relatou recuperar fragmentos de payload codificados desses logs, que foram vinculados à atividade do BLUEBEAM.
O monitoramento de processos é igualmente crítico, pois processos filhos suspeitos, como cmd.exe ou powershell.exe, iniciados a partir do w3wp.exe podem indicar exploração. O monitoramento de integridade de arquivos pode revelar modificações não autorizadas em arquivos .js, .aspx ou .config, particularmente a inserção de carregadores de scripts remotos. Defensores de rede também devem observar strings de User-Agent anômalas, especialmente aquelas formadas pela concatenação de múltiplas assinaturas de navegador, um padrão consistente com campanhas anteriores de exploração de ViewState.
Medidas de mitigação recomendadas
A única remediação eficaz para essa vulnerabilidade é a rotação imediata das chaves de máquina ASP.NET para valores criptograficamente fortes e únicos por implantação. As organizações também são aconselhadas a restringir o acesso ao LMS a intervalos de IP confiáveis e realizar caça a ameaças retrospectiva para identificar sinais de comprometimento. Um indicador conhecido associado à campanha inclui o payload BLUEBEAM "LoadLibrary.dll" com o hash SHA-256 7c1f99dca8e5a7897892f9d224a6495023a2cfd2671697d229d355978c415ed2.
O que os CISOs devem fazer imediatamente
Para executivos de segurança, este incidente reforça a necessidade de configurações seguras por padrão e monitoramento contínuo de ameaças na camada de aplicação. A reutilização de chaves de máquina em templates de implantação é um risco crítico que deve ser auditado. Recomenda-se a implementação de monitoramento de integridade de arquivos para detectar alterações em arquivos de configuração e scripts, além de revisar logs de aplicativos do ASP.NET para identificar padrões de erro de ViewState. A segmentação de rede e o controle de acesso baseado em IP para sistemas de gerenciamento de aprendizagem são medidas defensivas essenciais para limitar o impacto de uma exploração bem-sucedida.
Perguntas frequentes
Qual é a gravidade da vulnerabilidade?
A falha permite execução remota de código sem autenticação, classificando-a como crítica devido ao potencial de comprometimento total do servidor.
Como identificar se fui afetado?
Verifique se sua instalação do KnowledgeDeliver utiliza chaves de máquina ASP.NET padrão ou compartilhadas. Monitore logs do IIS e do Windows para atividades suspeitas do processo w3wp.exe.
Existe um patch oficial disponível?
A Mandiant recomenda a rotação de chaves como mitigação imediata. As organizações devem entrar em contato com a Digital Knowledge para obter atualizações de correção específicas.