Cve-2025-61932

Uma campanha sofisticada atribuída ao grupo de ameaças patrocinado pelo Estado chinês, conhecido como BRONZE BUTLER, está explorando uma vulnerabilidade crítica zero-day no Motex LANSCOPE Endpoint Manager para comprometer organizações japonesas e roubar informações sensíveis. A falha, identificada como CVE-2025-61932, possui um escore CVSS 3.0 de 9.8, permitindo que atacantes remotos executem código arbitrário com privilégios de sistema. A vulnerabilidade afeta versões 9.4.7.1 e anteriores do LANSCOPE Endpoint Manager, visando especificamente os componentes do programa cliente e do agente de detecção. As tentativas de exploração começaram em abril de 2025, com a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) adicionando a CVE-2025-61932 ao seu catálogo de vulnerabilidades conhecidas exploradas em 22 de outubro de 2025. Os pesquisadores identificaram que o grupo BRONZE BUTLER utilizou um malware sofisticado chamado Gokcpdoor como infraestrutura de comando e controle, além de técnicas de exfiltração de dados que incluíam ferramentas legítimas e serviços de armazenamento em nuvem. Organizações que utilizam o LANSCOPE devem revisar imediatamente a justificativa para a exposição pública e aplicar atualizações de segurança disponíveis.

Um grupo de ciberespionagem conhecido como Tick, também chamado de Bronze Butler, tem explorado uma vulnerabilidade crítica no Motex Lanscope Endpoint Manager, identificada como CVE-2025-61932, com uma pontuação CVSS de 9.3. Essa falha permite que atacantes remotos executem comandos arbitrários com privilégios de sistema em versões locais do software. O JPCERT/CC confirmou que a vulnerabilidade está sendo ativamente utilizada para instalar um backdoor em sistemas comprometidos. A campanha sofisticada, observada pela Sophos, utiliza um backdoor chamado Gokcpdoor, que estabelece uma conexão proxy com um servidor remoto e permite a execução de comandos maliciosos. Além disso, o ataque envolve o uso do framework Havoc para pós-exploração e ferramentas como goddi e Remote Desktop para movimentação lateral e exfiltração de dados. O Tick já havia sido observado explorando falhas zero-day em campanhas anteriores, como em 2017, quando comprometeu o SKYSEA Client View. A Sophos recomenda que as organizações atualizem seus servidores Lanscope vulneráveis e revisem a necessidade de expô-los publicamente na internet.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma falha de segurança crítica no Motex Lanscope Endpoint Manager em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). A vulnerabilidade, identificada como CVE-2025-61932, possui uma pontuação CVSS v4 de 9.3 e afeta versões locais do Lanscope, especificamente o programa Cliente e o Agente de Detecção. Essa falha permite que atacantes executem código arbitrário em sistemas vulneráveis ao enviar pacotes especialmente elaborados. A CISA recomenda que as agências do Federal Civilian Executive Branch (FCEB) remedeiem essa vulnerabilidade até 12 de novembro de 2025, a fim de proteger suas redes. Embora ainda não se saiba como a vulnerabilidade está sendo explorada em ataques reais, o portal japonês Japan Vulnerability Notes (JVN) informou que um cliente da Motex recebeu um pacote malicioso suspeito de visar essa falha. As versões afetadas são as 9.4.7.1 e anteriores, enquanto as versões corrigidas incluem a 9.4.6.3.

Uma vulnerabilidade crítica de execução remota de código foi identificada na edição on-premise do LANSCOPE Endpoint Manager, permitindo que atacantes não autenticados executem comandos arbitrários com altos privilégios nos sistemas afetados. A falha, rastreada como CVE-2025-61932, afeta tanto o Programa Cliente (MR) quanto o Agente de Detecção (DA) nas versões 9.4.7.1 e anteriores. Pesquisadores de segurança descobriram que pacotes de rede especialmente elaborados podem acionar um erro severo no cliente MR e no agente DA, contornando todos os requisitos de interação do usuário, como cliques ou abertura de e-mails. Tentativas de exploração no mundo real já foram observadas, tornando a aplicação de patches urgente. A edição on-premise é a única afetada, enquanto a edição em nuvem permanece segura. Um patch já está disponível no portal de suporte oficial da LANSCOPE, e é crucial que todas as máquinas que executam a edição on-premise sejam atualizadas imediatamente para mitigar o risco de exploração.