Operação Roundish: Descoberto Toolkit de Exploração do Roundcube do APT28 Mirando a Ucrânia

A Operação Roundish revela uma escalada tática do APT28 em ambientes de e-mail corporativo: não se trata mais de exploração pontual de falhas no Roundcube, mas de um ciclo operacional fechado, desde a infiltração via XSS até a exfiltração silenciosa e persistência em infraestrutura containerizada. O toolkit exposto inclui um backdoor Linux em Go com suporte nativo a três vetores de persistência (cron, systemd e SELinux), o que é raro em campanhas direcionadas a serviços web, normalmente focadas em memória ou em arquivos de configuração. Mais preocupante é o uso de side-channel por seletor CSS para extrair tokens CSRF: técnica já teórica em papers acadêmicos (como o estudo da ETH Zurich de 2025), mas agora aplicada em campo contra alvos reais, sem dependência de erros de configuração ou vulnerabilidades conhecidas no servidor.

O ataque à API viewsource em massa indica que os invasores não estão apenas lendo e-mails, mas mapeando estruturas de caixa postal para identificar contas privilegiadas, padrões de comunicação e até dados sensíveis em anexos não criptografados. A escolha do endereço [email protected] como destino das regras Sieve sugere operação de longo prazo: Proton Mail não permite encaminhamento automático para domínios externos por padrão, mas o APT28 está usando o próprio servidor comprometido como intermediário, o que exige manutenção ativa do canal, não apenas coleta passiva.

Roundcube é usado por centenas de órgãos públicos ucranianos, além de bancos e provedores de e-mail regionais na CEI. Diferente de clientes desktop, sua arquitetura baseada em navegador torna-o vulnerável a cadeias de ataque que misturam XSS, CSP fraca e confiança cega em extensões de interface, como as regras Sieve, que muitos administradores nunca auditam. A detecção de escape de contêineres nos scripts do toolkit mostra que o APT28 já considera ambientes Docker/Kubernetes como alvo viável, não como exceção. Isso muda o risco: não é mais só sobre proteger o webmail, mas garantir que o host, o orquestrador e até o runtime estejam blindados contra injeções que partem do nível da aplicação.