Pesquisador recria ataque de interceptação TLS usado no jabber.ru em 2023

O ataque ao jabber.ru em 2023 não foi um simples erro de configuração: foi um MitM operado com precisão técnica, usando uma falha crítica no acme.sh (CVE-2023-38198) para injetar código remoto e forçar a emissão de certificados fraudulentos pelo Let's Encrypt. O pesquisador que recriou o vetor em 2026 demonstrou que basta um token http-01 malicioso, codificado em base64 como stager Python, para gerar uma reverse shell privilegiada no momento em que o acme.sh faz o desafio de validação com uma CA controlada. A chave está na injeção via eval em versões anteriores à 3.0.6, que executa comandos arbitrários sem sanitização, transformando o processo de renovação de certificados em porta de entrada para controle total do servidor.

O ataque original durou mais de seis meses (abril a outubro de 2023), com tráfego XMPP totalmente descriptografado em tempo real. Não houve invasão direta dos servidores, os atacantes manipularam o roteamento em infraestrutura de provedores (Hetzner e Linode), redirecionando conexões da porta 5222 para um nó intermediário que apresentava certificados falsos. Um log de kernel mostrou perda de link físico por 19 segundos em 18 de julho de 2023, exatamente antes da geração de dois certificados fraudados. Isso confirma que o ataque dependeu tanto de vulnerabilidade de software quanto de manipulação de rede, um padrão que se repete em incidentes recentes como o Zapocalypse e o Global S3, onde sandboxes e canais legítimos são desviados para C2.

A cobertura CEVIU anterior não tratou do jabber.ru ou da CVE-2023-38198, mas expôs um padrão recorrente desde maio de 2026: a exploração de componentes de automação confiáveis (acme.sh, sandbox Python do Zapier, interpretadores do AgentCore) como vetores de execução remota. Em junho de 2026, o que mudou foi a confirmação prática de que essa mesma lógica, usar ferramentas legítimas de gestão de certificados ou infraestrutura como armas, já havia sido aplicada com sucesso em escala contra serviços críticos de comunicação. A diferença é que, enquanto o Zapocalypse e o Global S3 exploram ambientes de execução de código, o ataque ao jabber.ru opera no nível de provisionamento de identidade digital: ele não rouba tokens, mas fabrica credenciais confiáveis, e isso é mais difícil de detectar e mitigar.

Empresas brasileiras que usam acme.sh para TLS em produção, especialmente em ambientes de mensageria, IoT ou APIs públicas, ainda podem estar executando versões não atualizadas. A CVE-2023-38198 tem CVSS 9.8 e foi explorada ativamente desde junho de 2023, inclusive em CA intermediárias chinesas. Mais grave: o estudo do Google e GitGuardian de março de 2026 mostra que 2.600 certificados válidos já foram comprometidos por exposição de chaves privadas em repositórios públicos. Isso significa que o risco não é só de ataque ativo via injeção, mas também de personificação passiva: um certificado válido com chave vazada permite MitM sem nenhuma exploração de software, basta ter acesso à chave. Para equipes de segurança, isso exige auditoria imediata de cadeias de certificação, monitoramento contínuo de emissões no CT logs (como crt.sh) e bloqueio de certificados suspeitos via OCSP stapling ou revogação via CRL distribuída.