Abuso de RMM: Medusa e DragonForce exploram SimpleHelp e operam via MSPs | Cyber ataques

Campanhas observadas em 2025 mostram Medusa e DragonForce abusando de vulnerabilidades do SimpleHelp (CVE-2024-57726/57727/57728) para comprometer provedores e, por consequência, redes de clientes. Técnicas incluem uso de PDQ Deploy para desabilitar Defender, exfiltração via RClone/Restic e dupla extorsão; mitigação exige patching, segmentação de MSPs e proteção de backups.

Relatório da investigação aponta campanhas de ransomware em 2025 que abusaram de instâncias SimpleHelp vulneráveis para comprometer redes de clientes através de provedores e MSPs, demonstrando um padrão de supply‑chain operacional e escalada de impacto.

Panorama e alcance

Pesquisas identificaram operações em que grupos de ransomware — entre eles Medusa e DragonForce — exploraram três vulnerabilidades críticas do SimpleHelp (CVE-2024-57726, CVE-2024-57727, CVE-2024-57728) para obter acesso a ambientes de provedores que gerenciam múltiplos clientes. O abuso de infraestrutura de RMM permitiu controle em nível SYSTEM em sistemas dos clientes downstream.

Execução do ataque e técnicas de evasão

Com acesso ao SimpleHelp executando com privilégios elevados, os operadores aproveitaram ferramentas de gestão legítimas para distribuir payloads. O grupo Medusa usou PDQ Deploy para empurrar comandos PowerShell codificados em base64 que desativaram proteções do Microsoft Defender e adicionaram exclusões, por exemplo:

Add-MpPreference -ExclusionPath "C:\"
Set-MpPreference -MAPSReporting Disable
Set-MpPreference -DisableRealtimeMonitoring $true

Além disso, foram identificados drivers e componentes complementares (Smuot.sys, CSAgent.sys) e um payload denominado "Gaze.exe", vinculados a um toolkit de evasão (Abyssworker).

Persistência, exfiltração e impacto operacional

DragonForce adotou táticas distintas, criando contas administrativas locais (“admin”), instalando AnyDesk para acesso remoto persistente e visando servidores de backup (Veeam) com scripts para extrair credenciais em texto puro (Get-Veeam-Creds.ps1), comprometendo a capacidade de recuperação. Para exfiltração, Medusa usou RClone renomeado ("lsp.exe") com filtros por tamanho/idade; DragonForce utilizou Restic para enviar dados a endpoints S3 compatíveis com Wasabisys. Ambos aplicaram dupla extorsão: exfiltração seguida de criptografia.

Indicadores observados

Vulnerabilidades SimpleHelp: CVE-2024-57726 / CVE-2024-57727 / CVE-2024-57728.
Ferramentas e artefatos: PDQ Deploy, AnyDesk, RClone (renomeado), Restic, Smuot.sys, CSAgent.sys, Gaze.exe.
Extensões e notas de resgate: .MEDUSA ; *.dragonforce_encrypted ; arquivos de instrução readme.txt ou !!!READ_ME_MEDUSA!!!.txt.

Mitigações recomendadas

As equipes de segurança devem priorizar os seguintes passos:

Aplicar correções em instâncias SimpleHelp e garantir que RMMs executem com o princípio do menor privilégio;
isolar acessos de fornecedores / MSPs através de segmentação de rede e mecanismos de jump host controlados;
rotacionar credenciais e segredos para servidores de backup; validar integridade e recuperabilidade de backups offline;
monitorar deploys de ferramentas de gestão (PDQ, RMM) e eventos que alterem políticas de endpoint (exclusões do Defender); inspecionar fluxos de saída para S3/Wasabi e nomes de executáveis renomeados;
implementar proteção de endpoints com detecção de drivers maliciosos e regras de monitoramento para cargas suspeitas (Gaze.exe, Smuot.sys, CSAgent.sys).

Limitações e contexto

O relatório documenta intrusões e técnicas para múltiplos casos durante Q1 e Q2 de 2025, com foco em organizações no Reino Unido; entretanto, não apresenta uma contagem pública consolidada de vítimas. A narrativa confirma um padrão: comprometer o ecossistema de MSPs/RMM para multiplicar impacto, o que exige revisão das práticas de terceirização e segurança de fornecedores.