Uma campanha de intrusão complexa foi identificada pela Microsoft Defender Security Research, onde atacantes exploraram um appliance F5 BIG-IP de borda para obter acesso SSH e, em seguida, pivotar para redes Linux empresariais. O ataque reflete uma tendência crescente de reutilização de dispositivos de segurança, como firewalls e balanceadores de carga, como pontos de entrada iniciais para ataques focados em identidade.
Inicialização do ataque através de F5 BIG-IP
O ator da ameaça estabeleceu acesso SSH ao primeiro host Linux a partir de um dispositivo de rede identificado como um balanceador de carga F5 BIG-IP. O inventário de dispositivos apontou a origem para um appliance F5 BIG-IP Virtual Edition hospedado no Azure, executando a versão 15.1.201000. Esta versão atingiu o fim da vida útil em 31 de dezembro de 2024, o que significa que não recebe mais atualizações de segurança oficiais.
A exploração do dispositivo de borda foi facilitada por sua exposição à internet e pela confiança interna que ele possui dentro do ambiente corporativo. Uma vez comprometido, o atacante obteve um ponto de apoio durável e de baixa visibilidade, além de credenciais armazenadas, certificados e integrações de identidade. Isso destaca o risco de manter dispositivos de borda desatualizados e expostos sem monitoramento adequado.
Reconhecimento agressivo e varredura de rede
Após o acesso inicial, o atacante conduziu um reconhecimento agressivo. Utilizando um script de shell, eles executaram varreduras horizontais Nmap através de sub-redes internas para enumerar hosts ativos, seguidas por varreduras verticais mais profundas para identificar serviços abertos. A ferramenta gowitness foi então usada para capturar capturas de tela e identificar serviços HTTP/HTTPS expostos através de um proxy SOCKS5.
Essa fase de reconhecimento foi crucial para mapear a topologia da rede e identificar alvos potenciais para movimentação lateral. A utilização de ferramentas de varredura padrão e scripts personalizados demonstra a capacidade do atacante de se adaptar rapidamente ao ambiente e explorar vulnerabilidades conhecidas.
Movimentação lateral e escalonamento de privilégios
Onde servidores Windows foram descobertos, o ator tentou movimentação lateral baseada em NTLM utilizando uma ferramenta de código aberto familiar, incluindo enum4linux, netexec, smbclient, rpcclient, timeroast, ldapsearch, kerbrute e responder. Embora essas tentativas iniciais tenham falhado, o atacante não desistiu e continuou a procurar vulnerabilidades.
O atacante então baixou uma ferramenta de varredura personalizada do servidor C2 206.189.27[.39], sinalizada pela Microsoft como HackTool:Linux/MalPack.B. Esta ferramenta sondou as aplicações web e serviços móveis da organização, incluindo Firebase e GCM, para enumerar controles de acesso. O reconhecimento revelou um servidor interno Atlassian Confluence com vulnerabilidades não corrigidas, que o atacante explorou para execução remota de código.
Comprometimento de identidade e Active Directory
Após comprometer o Confluence, o atacante colheu credenciais de arquivos de configuração, incluindo server.xml e confluence.cfg.xml, e então usou essas credenciais contra a infraestrutura Windows. Isso escalou para ataques de relay Kerberos e exploração de CVE-2025-33073, utilizando netexec com coerção PetitPotam e ferramentas de manipulação DNS para atingir um controlador de domínio.
A Microsoft observa que a intrusão mostra como uma única RCE em um componente web adjacente à periferia pode se transformar em comprometimento de identidade em um aplicativo totalmente separado, cruzando plataformas e limites de confiança. Isso destaca a necessidade de uma postura de segurança unificada que considere todos os componentes da infraestrutura, não apenas os externos.
Recomendações de mitigação para CISOs
A Microsoft recomenda tratar appliances de borda expostos à internet como ativos Tier-0 com governança estrita de ciclo de vida e patch. Além disso, é necessário endurecer aplicativos web internos com a mesma urgência que os serviços externos, aplicar endurecimento de identidade e desabilitar NTLM sempre que possível. A implementação de assinatura SMB e LDAP e a habilitação de Proteção Estendida para Autenticação também são essenciais para mitigar ataques de relay.
- Gerenciamento de ciclo de vida: Garantir que todos os dispositivos de borda estejam atualizados e recebam patches de segurança.
- Endurecimento de rede: Aplicar políticas de segurança rigorosas em dispositivos de borda e aplicações internas.
- Monitoramento de identidade: Implementar soluções de detecção de anomalias de identidade e monitoramento de atividades de domínio.
- Segmentação de rede: Isolar segmentos de rede críticos para limitar o impacto de uma possível exploração.
- Resposta a incidentes: Ter planos de resposta a incidentes bem definidos e testados para lidar com comprometimentos de identidade.
Indicadores de comprometimento (IOCs)
Os principais indicadores de comprometimento incluem o endereço C2 206.189.27[.39] e hashes de arquivo para a ferramenta de varredura personalizada, Kerbrute, gowitness e um script de relay NTLM. A Microsoft também publicou consultas de caça avançada para identificar logons SSH originados de dispositivos F5 BIG-IP e acesso a credenciais de processos Confluence.
Conclusão e lições aprendidas
Este ataque serve como um lembrete crítico da importância de manter dispositivos de borda atualizados e monitorados. A exploração de um único componente vulnerável pode levar a um comprometimento total da infraestrutura de identidade. As organizações devem adotar uma abordagem de segurança em camadas, garantindo que todos os componentes da infraestrutura, sejam eles externos ou internos, estejam protegidos contra exploração. A colaboração entre equipes de segurança e operações é essencial para identificar e mitigar rapidamente ameaças emergentes.