Hackers estão abusando ativamente de uma falha na infraestrutura compartilhada de Content Delivery Network (CDN) para esconder tráfego malicioso atrás de domínios de alta reputação confiáveis, efetivamente deslizando além das ferramentas de segurança nas quais as organizações dependem todos os dias.
Como a técnica Underminr funciona
A técnica, agora rastreada sob o nome "Underminr", não é um bug de software, mas um abuso deliberado de como as CDNs são projetadas para funcionar. Provedores modernos de CDN atendem milhares de clientes ao mesmo tempo, roteando o tráfego de todos eles através de infraestrutura e nós de borda compartilhados. Os atacantes encontraram uma maneira de explorar essa configuração registrando seus próprios domínios com uma CDN que também serve sites reputados e bem conhecidos.
Uma vez na mesma rede compartilhada, eles podem criar solicitações que parecem estar indo para um destino confiável, enquanto os dados reais fluem diretamente para servidores controlados pelo atacante. Dispositivos de segurança que verificam nomes de domínio ou indicadores de handshake TLS veem nada de errado e deixam o tráfego passar.
A técnica Underminr aproveita como as CDNs usam o cabeçalho HTTP Host e a Indicação de Nome de Servidor (SNI) em handshakes TLS para decidir para onde rotear o tráfego de entrada. Quando o domínio de um atacante compartilha o mesmo nó de borda da CDN de um domínio confiável, o atacante pode enviar solicitações que carregam o SNI do domínio confiável, enquanto o backend real que lida com a conexão está inteiramente sob seu controle.
Evasão avançada e multiplexação
O que torna isso especialmente difícil de detectar é o uso de multiplexação HTTP/2, um recurso de protocolo que permite que vários fluxos de dados rodem sobre uma única conexão ao mesmo tempo. Os atacantes podem intercalar seu tráfego malicioso com solicitações normais e legítimas, borrando a linha entre o que é perigoso e o que é rotineiro.
Comportamento observado de atacantes inclui registrar domínios com provedores de CDN, criar solicitações SNI spoofed apontadas para grandes provedores SaaS e rotear payloads reais através de sua própria infraestrutura. Segundo pesquisa da ADAMnetworks citada no relatório da Rescana, mais de 88 milhões de domínios estão potencialmente em risco, incluindo aqueles hospedados por grandes provedores de CDN como Cloudflare, Akamai, AWS CloudFront e Fastly.
Exploração no mundo real
A exploração ativa do Underminr foi confirmada e relatada por veículos da indústria, incluindo SecurityWeek e SC Magazine. Atores de ameaça estão usando este método para baixar malware, executar campanhas de phishing e construir canais de comando e controle resilientes que evitam acionar controles de segurança tradicionais. As táticas observadas alinham-se de perto com técnicas historicamente associadas ao APT29 e APT41, embora nenhuma atribuição direta a um grupo específico tenha sido confirmada.
A atração desta técnica é clara. É escalável, difícil de bloquear sem interromper o tráfego legítimo e eficaz contra organizações de todos os tamanhos. Acredita-se que tanto atores apoiados por estados quanto grupos criminosos motivados financeiramente continuem a usá-la à medida que a conscientização sobre o método cresce.
Medidas de mitigação recomendadas
Defender-se contra o Underminr requer uma abordagem em camadas que vá além da filtragem básica de perímetro. As organizações devem implantar inspeção profunda de pacotes para corresponder cabeçalhos SNI e Host contra endpoints de CDN esperados e observar padrões de tráfego incomuns direcionados a domínios de alta reputação que não se alinham com a atividade comercial normal.
As configurações de CDN devem ser revisadas para garantir isolamento adequado entre inquilinos, e as equipes de segurança devem se envolver diretamente com seus provedores de CDN para entender quais mitigações arquitetônicas estão sendo implementadas. Atualizar feeds de inteligência de ameaças com domínios registrados por atacantes e investir em análise comportamental também pode ajudar a revelar atividade suspeita antes que cause danos.
Implicações para governança de segurança
Nenhum CVE foi atribuído até maio de 2026, pois o problema é arquitetônico, não um defeito de software pronto para patch. Isso significa que não há uma atualização simples para enviar, e o problema deve permanecer ativo no futuro previsível. CISOs devem considerar a revisão de políticas de uso de CDN e a implementação de controles de rede que validem a correspondência entre o SNI e o destino real do tráfego.
Indicadores de comprometimento (IoCs)
- Técnica: Underminr (Abuso de CDN)
- Protocolo: HTTP/2 Multiplexing
- Indicador: SNI Spoofing
- Fornecedores Afetados: Cloudflare, Akamai, AWS CloudFront, Fastly
Perguntas frequentes
Existe uma correção para isso? Não há um patch de software único, pois é uma limitação arquitetural. A mitigação requer configuração de rede e monitoramento comportamental.
Como detectar o tráfego? Utilize inspeção profunda de pacotes para verificar se o SNI corresponde ao domínio real solicitado e monitore padrões de tráfego incomuns em domínios de reputação.