Entre 25 e 28 de dezembro, um operador conduziu uma campanha de varredura em grande escala que testou mais de 240 exploits distintos contra sistemas expostos na Internet, criando um inventário de alvos vulneráveis que pode alimentar operações de ransomware.
O que os pesquisadores identificaram
Analistas da Greynoise detectaram a atividade por meio de mais de 57.000 subdomínios OAST únicos vinculados à plataforma Interactsh do ProjectDiscovery. A telemetria e a assinatura de ferramenta indicam uso em escala industrial do scanner Nuclei.
Atributos da campanha
- Período: 25–28 de dezembro;
- Probeamento com intervalos de 1 a 5 segundos, aplicando até 11 tipos de exploit por sistema testado;
- Infraestrutura: duas origens de tráfego identificadas — 134.122.136.119 e 134.122.136.96 — relacionadas ao provedor CTG Server Limited (AS152194);
- Métrica de atribuição: JA4 network fingerprints e um Machine ID compartilhado em 98% das tentativas, indicando um único operador em vez de um esforço coordenado por múltiplos atores.
Por que isso importa
A técnica transforma a fase de reconhecimento em um produto: o operador testa centenas de vetores e catalogam sistemas exploráveis, que podem ser vendidos a grupos de ransomware ou usados posteriormente em ataques direcionados. Fazer esse trabalho em períodos de menor vigilância (feriados) aumenta a chance de sucesso.
Infraestrutura usada e implicações
CTG Server Limited, o AS apontado, controla uma grande lona de endereços IPv4 e tem histórico de baixa aplicação de abuso, tornando‑o atrativo para operações criminosas que exigem tolerância a bloqueios. A escolha de infra com pouca fiscalização complica a contenção e bloqueio pelos defensores.
Indicadores e verificação
Os pesquisadores recomendam examinar logs de rede e de detecção para conexões aos IPs 134.122.136.119 e 134.122.136.96 e consultas DNS para domínios OAST associados, incluindo:
- oast.pro, oast.site, oast.me, oast.online, oast.fun, oast.live
Se uma organização encontrar correspondências, deve assumir que vulnerabilidades foram confirmadas e priorizar correções e resposta como se o inventário já estivesse disponível a atores maliciosos.
Recomendações operacionais
- Auditar e priorizar correção de serviços expostos e CVEs detectados nos períodos indicados;
- Revisar alertas e logs de conexão vindos de infraestruturas com histórico de abuso e bloquear/rate‑limit quando possível;
- Implementar detecção de scanners em massa (thresholds para tráfego e comportamento repetitivo) e inteligência de ameaças focada em domínios OAST/Nuclei;
- Considerar testes de red team e varreduras internas para antecipar vetores que IABs possam explorar.
Limitações e o que falta
A matéria traz uma análise robusta da telemetria e da infraestrutura, mas não publica uma lista completa de CVEs testados, nem quantifica quantos dos alvos identificados foram subsequentemente explorados em ataques reais. Portanto, defensores precisam cruzar seus próprios logs e inventários para avaliar impacto.
Resumo
O padrão exibido — varreduras massivas e automatizadas com catálogo de alvos exploráveis — sinaliza uma professionalização dos serviços de initial access. Equipes de segurança devem tratar logs do período como potencial evidência de confirmação de vulnerabilidades e agir rapidamente para mitigar riscos.