Ataques Sofisticados Exigem Atenção à Gestão de Vulnerabilidades

A recente ofensiva contra a agência nuclear e a contratada naval filipina é um lembrete vívido de como atacantes utilizam vulnerabilidades conhecidas com grande eficácia. No caso da agência nuclear, a falha explorada foi a CVE-2023-49105 no ownCloud, divulgada em novembro de 2023. Esta vulnerabilidade permitia que atacantes usassem URLs pré-assinadas com segredos de assinatura vazios, um estado padrão em novas instalações, para acessar arquivos WebDAV sem autenticação. Os operadores usaram scripts Python personalizados, com pausas randômicas (time.sleep), para evadir detecção de tráfego, exfiltrando cerca de 9 GB de dados sensíveis, incluindo registros de reatores e informações de funcionários.

A contratada naval foi alvo da CVE-2024-28000, uma vulnerabilidade de escalonamento de privilégios não autenticada no plugin LiteSpeed Cache do WordPress, revelada em agosto de 2024. Esta falha permitia a criação de contas de administrador. Além disso, o site sofreu ataques de adivinhação de senha via XML-RPC. O grupo, suspeito de ser chinês devido a comentários em código e nomes de pastas em chinês simplificado, demonstra o foco em alvos de alto valor. Como já abordado em fevereiro de 2026 na matéria do CEVIU News sobre “Vulnerabilidades Chinesas em Ascensão”, a China tem seu próprio ecossistema de bancos de dados de vulnerabilidades, o que pode indicar uma abordagem estratégica para pesquisa e exploração de falhas.

Este ataque sublinha a necessidade urgente de uma gestão de vulnerabilidades robusta, especialmente em organizações que operam infraestrutura crítica e setores de defesa. O roubo de dados de uma agência nuclear, incluindo registros de materiais, segurança radiológica e dados pessoais, representa um risco de segurança nacional imenso, com potencial para comprometer operações e pessoal. A exploração de vulnerabilidades conhecidas meses ou anos após sua divulgação mostra que muitas organizações ainda falham em aplicar patches e configurações seguras em tempo hábil.

O incidente reforça um padrão preocupante de ataques direcionados a setores estratégicos. Em agosto de 2026, o CEVIU News noticiou a “Ataque Zero-Day Global no Setor de Defesa Via Falsas Ofertas de Emprego”, mostrando como o setor de defesa tem sido alvo constante de campanhas sofisticadas. A exfiltração de dados como chaves BitLocker, bancos de dados KeePass e informações de pessoal, incluindo registros de tempo e presença do ZKTeco BioTime, indica uma coleta detalhada para fins de inteligência, não apenas acesso oportunista. Para as empresas, governos e cidadãos, a falha em manter sistemas atualizados é uma porta aberta para adversários com recursos e intenções de longo prazo.