Não Faça Assim: Três Erros Comuns que Levam a Ataques Cibernéticos

32K+ Cobertura em 30 dias Solar 94,38 Classificação 76 102 Inscritos Inscrever-se SolarSecurity 1 hora atrás Não Faça Assim: Três Erros Comuns que Levam a Ataques Cibernéticos 5 min 2.4K Blog da empresa Solar Segurança da Informação * Backup esquecido em pasta aberta, senha fraca sem autenticação de dois fatores, segmentação sem controle de rotas alternativas - esses três erros tornam a invasão quase inevitável. Em 2025, a DSEC (equipe de pentest com 23 anos de experiência, parte do Grupo Solar) realizou 390 pentests - e em 78% dos casos, o perímetro externo foi rompido. O phishing sempre atingiu seu objetivo: pelo menos um funcionário interagiu com o e-mail - e em 86% dos casos, inseriu uma senha ou abriu um anexo.

Mas o principal é que esses cenários já foram implementados em ataques reais. Especialistas do centro de pesquisa de ameaças cibernéticas Solar 4RAYS do Grupo Solar registram os mesmos vetores: invasores vivem em redes por anos, roubam dados ou destroem a infraestrutura - tudo por causa de erros tão simples. Como isso acontece - vamos analisar com exemplos.

Backup Esquecido

Esse erro muitas vezes leva a incidentes reais. Especialistas do centro de pesquisa de ameaças cibernéticas Solar 4RAYS investigaram um ataque a uma organização médica, cuja infraestrutura foi penetrada por invasores através de uma aplicação web vulnerável desenvolvida pelo cliente. O serviço de segurança da informação da organização notou a invasão, após o que limpou parte dos sistemas e desativou a aplicação. Mas perdeu um servidor Linux com um gerenciador de senhas.

Após alguns meses, os invasores retornaram, usando as credenciais salvas, comprometeram o 1C, a virtualização, os controladores de domínio, os backups e lançaram um ransomware através de políticas de grupo. O resultado foi extorsão e trabalho paralisado. E a razão é uma: uma fixação perdida e senhas em formato aberto.

Em outro caso, durante um pentest externo de uma instituição educacional, a equipe da DSEC descobriu um arquivo zip publicamente acessível com o código-fonte. Nos arquivos de configuração, havia contas para se conectar ao banco de dados. E em um dos serviços, havia um script de depuração para gerenciar este banco de dados - sem autorização. Através dele, os pentesters obtiveram acesso total ao banco de dados: dados pessoais de todos os alunos, incluindo passaportes, telefones e endereços.

No mesmo arquivo, foi descoberto um método para carregar arquivos arbitrários. Sem nenhuma verificação - eles carregaram um web shell e "invadiram" a rede interna. A aplicação web foi integrada ao domínio através de uma conta de administrador - a senha foi novamente encontrada no código-fonte. Como resultado, a equipe obteve controle total sobre a infraestrutura e acesso ao sistema ERP com as finanças da instituição. Todas essas informações poderiam facilmente se tornar publicamente disponíveis. E tudo isso por causa de um arquivo esquecido.

Figura 1. Diagrama da implementação do pentest da instituição educacional

Senhas Fracas

Especialistas da Solar 4RAYS investigaram um incidente real em uma empresa de telecomunicações, quando invasores atacaram um administrador que atendia duas organizações ao mesmo tempo. Como resultado, a comprometimento de uma conta deu acesso a duas infraestruturas independentes. Através de um link de phishing, os hackers obtiveram sua senha e acesso à VPN. Em seguida, o clássico: eles se estabeleceram na infraestrutura, instalaram um stealer no servidor de e-mail, que interceptava credenciais em formato não protegido, e roubaram informações confidenciais de ambas as empresas.

O incidente foi investigado por muito tempo: formalmente, as redes das duas empresas foram isoladas, e não havia perímetro de rede entre elas. No entanto, o administrador de TI atendia ambas as infraestruturas de um único local de trabalho, usando uma única conta. Após o phishing, os invasores obtiveram acesso à sua sessão - e através de um canal legítimo, penetraram em ambas as redes. Assim, o fator humano permite contornar qualquer segmentação técnica.

Figura 2. Diagrama do ataque investigado de uma organização russa

Um exemplo semelhante é fornecido por especialistas da DSEC. Durante um pentest externo de uma empresa industrial, os especialistas usaram uma característica do Autodiscover no cliente de e-mail e compilaram uma lista de todas as contas no domínio. Em seguida, aplicaram uma simples enumeração por dicionário. As senhas eram fracas. Assim, a equipe conseguiu obter acesso ao 1C, ao portal de RH, ao NextCloud, ao portal corporativo e a outros serviços.

No 1C, existe uma funcionalidade legítima para carregar shells externos. Ao mesmo tempo, alguns grupos ucranianos a exploram com sucesso. Os pentesters carregaram um web shell através dele, executaram código arbitrário no servidor e invadiram a rede interna. Em seguida, eles encontraram dois vetores para obter direitos de administrador principal da rede: o primeiro - através de centros de certificação vulneráveis, o segundo - através da comprometimento de um meio de proteção que foi integrado ao domínio.

Tendo controle total sobre a rede, a equipe analisou todos os hashes NTLM dos usuários e, por meio de enumeração, selecionou senhas para metade dos funcionários. Incluindo senhas para a plataforma de resposta a incidentes (IRP). Os principais erros que permitiram que a proteção fosse contornada: política de senha fraca, ausência de autenticação de dois fatores e direitos excessivos nas integrações.

Conclusão: senhas fracas ou roubadas por phishing - não faz diferença. Na ausência de autenticação de dois fatores, o perímetro entrará em colapso.

Segmentação Não Salvou

Um caso da prática da Solar 4RAYS mostra que, às vezes, os invasores visam a destruição completa, sem se importar com os limites da rede. O grupo Shedding Zmiy atacou uma empresa de TI para destruição completa. O método de penetração não pôde ser estabelecido - a infraestrutura foi simplesmente destruída.

Os invasores comprometeram o hipervisor, todas as máquinas virtuais, o sistema de armazenamento de dados e os backups, após o que excluíram tudo permanentemente. O armazenamento de dados foi criptografado de forma que a recuperação se tornou impossível. Sem exigências de resgate, pura destruição.

A análise mostrou: os primeiros vestígios de atividade apareceram um ano antes do golpe final. Mas, devido à ausência de monitoramento de movimento interno, eles não foram notados. Havia segmentação, mas não havia controle de movimento dentro da rede. Se a empresa tivesse realizado regularmente uma Avaliação de Comprometimento ou monitorado a atividade de rede anômala, a catástrofe poderia ter sido evitada.

Especialistas da DSEC também enfrentaram um caso de contorno da segmentação. No bloco financeiro do cliente do pentest, a infraestrutura foi dividida em dois domínios: corporativo (para tarefas de escritório) e de processamento (para processamento de pagamentos). Não havia acessos diretos entre eles - a segmentação foi considerada confiável. Já tendo controle total sobre o domínio corporativo, que se tornou o ponto de "entrada", os especialistas da DSEC definiram o objetivo: comprometer o processamento.

Apesar da ausência de rotas diretas, foi possível descobrir uma cadeia de cinco hosts intermediários, através dos quais é possível fazer proxy. Os pentesters entraram sequencialmente em cada host, usando-o como um gateway para o próximo. Assim, obtiveram acesso à rede ao domínio de processamento.

Em seguida, a equipe da DSEC usou os mesmos métodos (senhas fracas, vulnerabilidades locais) e, como resultado, alcançou o controle total sobre o domínio de processamento. O erro não foi a ausência de segmentação como tal, mas o fato de que não havia controle sobre as rotas alternativas e monitoramento de conexões de rede não padronizadas, uma política unificada de gerenciamento de acesso entre os segmentos não foi aplicada.

Resumindo: todos os erros listados são típicos, eles se repetem de tempos em tempos, de empresa para empresa. O que fazer com isso? Adotar a autenticação de dois fatores, o controle de segmentação e o monitoramento de conexões não padronizadas. E também é útil realizar regularmente pentests e Avaliações de Comprometimento.

Tags: comprometimento ciberataque cibersegurança backup proteção de senha pentest