Descoberta e escopo
Uma falha de validação de controle de acesso em Triofox (versões 16.4.10317.56372 e anteriores) foi identificada como CVE-2025-12480. A CVE é classificada como crítica, com CVSS estimado em 9.8, e está sendo explorada desde agosto de 2025 por um cluster de ameaças para obter acesso administrativo não autorizado e persistência.
Vetor de exploração e cadeia de ataque
O vetor técnico empregado é uma injeção e manipulação do cabeçalho HTTP Host (host header). Alterando o cabeçalho Host para “localhost”, atacantes contornam checagens de autenticação e obtêm acesso à página AdminDatabase.aspx — uma página de configuração que normalmente só aparece durante o setup inicial. O problema decorre da função CanRunCriticalPage() não validar corretamente a origem das requisições.
Abuso do recurso de antivírus e impacto técnico
O cenário se agrava pela capacidade administrativa de definir o caminho do mecanismo antivírus interno do Triofox. Em incidentes documentados, invasores fizeram upload de scripts maliciosos para shares públicos e apontaram o scanner de antivírus para esses executáveis ou batch scripts. Quando o mecanismo varre arquivos, o script é executado sob a conta SYSTEM do Windows, resultando em comprometimento completo do host.
- Versões afetadas: Triofox 16.4.10317.56372 e anteriores.
- CVE: CVE-2025-12480.
- Severidade: Crítica (CVSS estimado 9.8).
Atividades pós-exploração observadas
Após ganho inicial, os operadores criaram contas administrativas e implantaram agentes e ferramentas para manutenção de acesso. Foram relatados despliegues de agentes de gerenciamento (Zoho UEM), instalação de AnyDesk e uso de utilitários SSH (Plink renomeado) para estabelecer túneis reversos criptografados a servidores de comando e controle. A infraestrutura permitiu encaminhar tráfego RDP por canais cifrados, mantendo acesso remoto persistente e dificultando detecções de rede.
Mitigações e recomendações
Gladinet publicou um patch que atualiza o Triofox para a versão 16.7.10368.56560. Recomendações práticas incluem:
- Atualizar imediatamente todas as instâncias afetadas para a versão corrigida.
- Auditar contas administrativas e revogar credenciais criadas indevidamente.
- Verificar a configuração do mecanismo antivírus do produto — garantir que apenas binários autorizados possam ser executados e que caminhos configuráveis não apontem para shares ou diretórios com upload aberto.
- Monitorar sinais de exfiltração e túneis SSH de saída; inspecionar deploys de RMM/agents e atividade de AnyDesk/Plink renomeado.
Limitações das informações
As fontes descrevem a cadeia de exploração e as atividades pós-exploração, mas não detalham uma contagem consolidada de vítimas nem setores mais afetados. As informações disponíveis descrevem casos investigados e a recomendação imediata de patching; números agregados de incidentes não foram divulgados.
Próximos passos operacionais
Administradores devem priorizar inventário de instâncias Triofox expostas, aplicar a correção fornecida e executar escaneamentos para detectar artefatos associados a persistência (contas administrativas, agentes instalados, tarefas agendadas). Revisar políticas de upload em shares publicados e restringir a capacidade de definir caminhos executáveis em funcionalidades administrativas é essencial para mitigar este vetor específico.