Introdução
Uma campanha de exploração em massa descoberta recentemente revelou o uso sofisticado de automação e inteligência artificial por parte de cibercriminosos para explorar vulnerabilidades em aplicações web. A operação, batizada de Bissa Scanner, focou na falha conhecida como React2Shell (CVE-2025-55182), presente no framework Next.js. O ataque resultou na comprovação de mais de 900 explorações bem-sucedidas contra empresas em todo o mundo, com um foco específico na coleta de credenciais sensíveis armazenadas em arquivos de ambiente.
A descoberta foi feita por analistas do The DFIR Report após a exposição de um servidor que continha mais de 13.000 arquivos organizados em mais de 150 diretórios. A infraestrutura do atacante demonstrou um nível de maturidade operacional raro em campanhas de exploração em massa, utilizando bots do Telegram para notificações em tempo real e ferramentas de IA para gerenciamento de fluxo de trabalho.
O que é a falha React2Shell
A vulnerabilidade CVE-2025-55182, apelidada de React2Shell, afeta servidores web que utilizam o framework Next.js. A falha permite que atacantes acessem arquivos de ambiente (.env) que frequentemente contêm senhas, chaves de API e tokens de acesso. Diferente de ataques tradicionais que varrem aleatoriamente, o grupo criminoso construiu um fluxo de trabalho estruturado para encontrar, explorar e classificar vítimas com base no valor dos dados roubados.
Os alvos incluíram firmas financeiras, plataformas de criptomoedas e empresas de varejo, setores que geralmente mantêm grandes volumes de dados sensíveis em configurações de servidor. A natureza da falha permitiu a extração de credenciais para provedores de IA como Anthropic e OpenAI, plataformas de nuvem como AWS e Azure, sistemas de pagamento como Stripe e PayPal, e bancos de dados como MongoDB e Supabase.
Campanha Bissa Scanner e automação
O ataque foi orquestrado por uma ferramenta chamada Bissa Scanner, que automatizou a varredura de aplicações web expostas na internet. O operador do ataque, identificado pelo nome de usuário no Telegram @BonJoviGoesHard e nome de exibição "Dr. Tube", não apenas varreu aleatoriamente, mas construiu um pipeline de coleta contínuo e automatizado.
Entre 10 e 21 de abril de 2026, o operador enviou mais de 65.000 entradas de arquivos arquivados para um bucket de armazenamento em nuvem chamado "bissapromax", usando o Filebase compatível com S3. Isso demonstrou a escala e a continuidade da coleta de dados, mostrando que a operação não foi um incidente isolado, mas uma campanha sustentada.
Uso de inteligência artificial e bots do Telegram
Um dos aspectos mais reveladores da campanha foi o uso de inteligência artificial e automação de comunicação. O operador utilizou o Claude Code e uma ferramenta chamada OpenClaw para auxiliar no troubleshooting e gerenciamento de fluxo de trabalho, conferindo ao ataque um nível de eficiência raramente visto em campanhas de exploração em massa.
O sistema de notificação via Telegram foi particularmente técnico. Scripts de execução dentro do framework Bissa Scanner foram codificados com um token de bot do Telegram vinculado ao bot @bissapwned_bot. Sempre que o scanner confirmava uma exploração bem-sucedida da React2Shell, o bot enviava um alerta estruturado diretamente para o chat privado do atacante.
Cada mensagem de confirmação enviada pelo @bissapwned_bot carregava um cabeçalho estruturado com ID da mensagem, data, nome de usuário do remetente e ID do usuário do bot. O corpo da mensagem era escrito como uma única linha usando campos delimitados por emojis, o que dava ao atacante um resumo instantâneo de cada vítima sem precisar fazer login no servidor manualmente. Essa escolha de design mostra uma maturidade operacional clara: o atacante queria velocidade, clareza e esforço mínimo ao revisar os resultados.
Dados exfiltrados e impacto
O volume de credenciais roubadas foi enorme. Através de dezenas de milhares de arquivos .env, o atacante coletou chaves e tokens para provedores de IA, plataformas de nuvem, sistemas de pagamento e bancos de dados. A organização dos dados no servidor exposto não era um simples despejo de dados, mas uma operação profissionalmente organizada com scripts de exploração, staging de dados de vítimas, coleta de credenciais e validação de acesso rodando em um único lugar.
Isso indica que o grupo tem conhecimento preciso sobre quais tipos de dados carregam o maior valor e está construindo ferramentas especificamente para extraí-las. O impacto vai além de uma única campanha de ransomware, mostrando que alguns atores de ameaças estão dispostos a investir em pesquisa e desenvolvimento, tratando operações de cibercrime com a mesma estrutura e disciplina de um projeto de software legítimo.
Medidas de mitigação recomendadas
Os analistas do The DFIR Report destacaram medidas defensivas que as organizações devem aplicar imediatamente. Primeiro, corrigir agressivamente e permanecer inscrito nos avisos de fornecedores para que vulnerabilidades críticas não passem despercebidas até que ocorra um incidente.
Segundo, mover credenciais de produção para fora de arquivos .env e para um gerenciador de segredos adequado, injetando-as em tempo de execução com tempos de vida curtos e permissões restritas. Terceiro, as organizações devem controlar o tráfego de saída das camadas de aplicação através de um proxy registrado para impedir que hosts comprometidos alcancem silenciosamente a infraestrutura do atacante.
Finalmente, rotacionar credenciais em um cronograma regular, escanear código e artefatos construídos em busca de segredos embutidos e plantar tokens de canário que disparem um alerta assim que forem acessados por uma parte não autorizada.
Perguntas frequentes
Qual é a severidade da falha React2Shell?
A falha é crítica devido à sua capacidade de expor credenciais sensíveis que podem levar ao comprometimento total de sistemas e acesso a serviços de terceiros.
Como saber se minha organização foi afetada?
Verifique se há arquivos .env expostos publicamente ou acessíveis sem autenticação adequada. Monitore logs de acesso para tentativas de leitura de arquivos de configuração.
Devo rotacionar todas as chaves de API?
Sim, se houver suspeita de que as credenciais foram comprometidas, todas as chaves de API e tokens associados devem ser rotacionados imediatamente.