Segurança De Rede

O grupo de ameaças ligado à Rússia, conhecido como APT28 ou Forest Blizzard, está associado a uma nova campanha de ciberespionagem que comprometeu roteadores MikroTik e TP-Link inseguros. Desde maio de 2025, a operação, chamada FrostArmada, tem como alvo dispositivos de internet domésticos e de pequenos escritórios (SOHO), explorando vulnerabilidades para redirecionar o tráfego DNS e coletar dados de rede de forma passiva. A técnica utilizada modifica as configurações de DNS dos roteadores comprometidos, permitindo que o tráfego seja desviado para servidores controlados pelos atacantes, onde credenciais de autenticação são capturadas. A campanha teve seu auge em dezembro de 2025, com mais de 18.000 endereços IP únicos de pelo menos 120 países se comunicando com a infraestrutura do APT28. O alvo principal inclui agências governamentais e provedores de serviços de e-mail e nuvem. A Microsoft e outras agências de segurança colaboraram para desativar a infraestrutura maliciosa, mas a natureza oportunista do ataque levanta preocupações sobre a segurança de dispositivos em ambientes corporativos. A exploração de vulnerabilidades, como a CVE-2023-50224, destaca a necessidade urgente de monitoramento e proteção de dispositivos de rede em uso.

Os roteadores, muitas vezes negligenciados pelos usuários, são alvos preferenciais para hackers devido à sua posição central na rede doméstica. Ao comprometer um roteador, os cibercriminosos podem monitorar e manipular todo o tráfego de dados que passa por ele, sem a necessidade de invadir cada dispositivo individualmente. Um exemplo recente é o malware DKnife, que opera silenciosamente desde 2019, permitindo que hackers interceptem conexões e redirecionem usuários para sites falsos, como páginas de bancos, onde podem roubar credenciais. Além disso, o malware pode substituir downloads legítimos por versões infectadas, aumentando ainda mais o risco. A falta de proteção nos roteadores, que não possuem antivírus ou alertas visíveis, torna essa vulnerabilidade ainda mais crítica. Para proteger sua rede, é essencial que os usuários atualizem regularmente o firmware do roteador, alterem senhas padrão e utilizem firewalls adequados. A segurança da rede depende da proteção do elo mais fraco, que neste caso é o roteador.

A Amazon Threat Intelligence alertou sobre uma campanha ativa de ransomware chamada Interlock, que está explorando uma falha crítica de segurança no Cisco Secure Firewall Management Center (FMC) Software, identificada como CVE-2026-20131, com uma pontuação CVSS de 10.0. Essa vulnerabilidade permite que atacantes remotos não autenticados contornem a autenticação e executem código Java arbitrário como root em dispositivos afetados. A falha foi explorada como um zero-day desde 26 de janeiro de 2026, antes de ser divulgada publicamente pela Cisco. A campanha de Interlock utiliza uma cadeia de ataque complexa, que inclui scripts de reconhecimento em PowerShell, trojans de acesso remoto personalizados e técnicas de evasão. A Amazon compartilhou suas descobertas com a Cisco para ajudar a proteger os clientes. Diante da exploração ativa da falha, os usuários são aconselhados a aplicar patches imediatamente e realizar avaliações de segurança. A Cisco atualizou seu aviso sobre a vulnerabilidade, recomendando a atualização para uma versão corrigida do software.

A Zyxel, fornecedora de redes de Taiwan, divulgou atualizações de segurança para corrigir uma vulnerabilidade crítica que afeta mais de uma dúzia de modelos de roteadores. Identificada como CVE-2025-13942, essa falha de injeção de comandos foi encontrada na função UPnP de dispositivos como CPE 4G LTE/5G NR, CPE DSL/Ethernet, ONTs de fibra e extensores sem fio. A Zyxel alerta que atacantes remotos não autenticados podem explorar essa vulnerabilidade para executar comandos do sistema operacional em dispositivos não corrigidos, utilizando requisições SOAP UPnP maliciosas. No entanto, a empresa ressalta que a exploração bem-sucedida é limitada, pois requer que tanto o UPnP quanto o acesso WAN estejam habilitados, sendo que este último está desativado por padrão. Além disso, a Zyxel também corrigiu duas vulnerabilidades de injeção de comandos pós-autenticação (CVE-2025-13943 e CVE-2026-1459) que permitem a execução de comandos do sistema por meio de credenciais comprometidas. A CISA dos EUA está monitorando 12 vulnerabilidades da Zyxel que estão sendo ativamente exploradas. A empresa recomenda fortemente que os usuários instalem os patches para garantir a proteção adequada.

O Tor Network anunciou a substituição de seu algoritmo de criptografia de relé, o tor1, por um novo sistema chamado Counter Galois Onion (CGO). Essa mudança visa aumentar a privacidade e a segurança dos usuários em todo o mundo, especialmente contra técnicas modernas de interceptação que poderiam comprometer dados sensíveis. O CGO utiliza uma permutação pseudorrandômica robusta, chamada UIV+, que atende a rigorosos requisitos de segurança. Entre as melhorias, destaca-se a resistência a ataques de tagging, a confidencialidade de tráfego passado mesmo se chaves atuais forem expostas, e a eliminação do SHA-1 em favor de um autenticador de 16 bytes. O novo sistema também implementa criptografia de bloco largo e encadeamento de tags, tornando células modificadas e tráfego futuro irrecuperáveis. A transição para o CGO está sendo integrada nas implementações C Tor e no cliente Arti baseado em Rust, e os usuários do Tor Browser não precisam realizar ações manuais para se beneficiar das atualizações, que ocorrerão automaticamente. Embora o sistema ainda esteja em fase experimental, a Tor enfatiza que essas melhorias são essenciais para atender aos padrões de criptografia em evolução.

A versão 2.29 do IPFire, atualizada com o Core Update 198, traz avanços significativos na tecnologia de firewall de código aberto, especialmente na prevenção de intrusões. A nova versão inclui o Suricata 8, que oferece capacidades aprimoradas de prevenção de intrusões e recursos inovadores de relatórios. Entre as novidades, destacam-se notificações por e-mail em tempo real, relatórios em PDF programados e integração com syslog remoto, criando um registro abrangente que pode ser auditado mesmo em cenários de comprometimento.

A TP-Link divulgou atualizações de segurança para corrigir quatro vulnerabilidades críticas em seus dispositivos de gateway Omada, incluindo duas falhas que podem permitir a execução de código arbitrário. As vulnerabilidades identificadas são: CVE-2025-6541 e CVE-2025-6542, ambas com uma pontuação CVSS de 9.3, que permitem a injeção de comandos do sistema operacional por atacantes autenticados e não autenticados, respectivamente. Outras duas falhas, CVE-2025-7850 e CVE-2025-7851, com pontuações de 8.6 e 8.7, respectivamente, também permitem a execução de comandos arbitrários, sendo a primeira acessível a administradores e a segunda relacionada à gestão inadequada de privilégios. A TP-Link recomenda que os usuários atualizem rapidamente o firmware de seus dispositivos para mitigar os riscos. A empresa não reportou exploração ativa dessas falhas, mas enfatizou a importância de verificar as configurações após a atualização. Os modelos afetados incluem diversas versões de dispositivos como ER8411, ER7412-M2 e ER605, entre outros. A atualização é crucial para garantir a segurança e a integridade dos sistemas operacionais subjacentes dos dispositivos.

A Cisco emitiu um alerta sobre uma vulnerabilidade de alta severidade, identificada como CVE-2025-20352, que afeta o software IOS e IOS XE. Com uma pontuação CVSS de 7.7, essa falha pode permitir que um atacante remoto execute código arbitrário ou cause uma condição de negação de serviço (DoS) em dispositivos afetados. A vulnerabilidade está relacionada ao protocolo SNMP (Simple Network Management Protocol) e foi descoberta após a violação de credenciais de administrador local. Para explorar a falha, um atacante precisa enviar um pacote SNMP malicioso a um dispositivo vulnerável, sendo que as condições para a exploração variam conforme o nível de privilégios do atacante. A Cisco recomenda que apenas usuários confiáveis tenham acesso SNMP e sugere a execução do comando “show snmp host” para monitoramento. A falha afeta todas as versões do SNMP e dispositivos como os switches Meraki MS390 e Cisco Catalyst 9300. A correção já está disponível na versão 17.15.4a do Cisco IOS XE, e a empresa alerta que não há soluções alternativas para mitigar a vulnerabilidade.

A Sophos divulgou uma vulnerabilidade crítica de bypass de autenticação que afeta sua série de Pontos de Acesso Sem Fio AP6, permitindo que atacantes não autorizados obtenham privilégios administrativos. A falha, identificada como CVE-2025-10159, foi descoberta durante testes internos de segurança e já foi corrigida na versão mais recente do firmware. A vulnerabilidade impacta dispositivos que executam versões de firmware anteriores à 1.7.2563 (MR7). Atacantes que conseguem acessar o endereço IP de gerenciamento do ponto de acesso podem explorar essa falha para contornar os mecanismos de autenticação, comprometendo a segurança da rede. Uma vez que um invasor obtém privilégios administrativos, ele pode alterar configurações de rede, interceptar comunicações sem fio e implantar firmware malicioso. A Sophos implementou atualizações automáticas para a maioria dos clientes, mas aqueles que optaram por não usar essa configuração devem atualizar manualmente o firmware para se proteger contra essa vulnerabilidade. Administradores de rede são aconselhados a verificar suas versões de firmware e aplicar o patch imediatamente para evitar possíveis brechas de segurança.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) adicionou duas vulnerabilidades críticas que afetam roteadores TP-Link ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). As falhas, CVE-2023-50224 e CVE-2025-9377, têm sido exploradas ativamente. A primeira, com um CVSS de 6.5, permite a bypass de autenticação no serviço httpd do modelo TL-WR841N, resultando na exposição de credenciais armazenadas. A segunda, com um CVSS de 8.6, é uma vulnerabilidade de injeção de comandos do sistema operacional que pode levar à execução remota de código em modelos como o Archer C7 e TL-WR841N. Embora a TP-Link tenha lançado atualizações de firmware em novembro de 2024, os modelos afetados já atingiram o status de fim de vida (EoL) e não recebem mais suporte ativo. A CISA recomenda que as agências federais implementem as mitig ações necessárias até 24 de setembro de 2025. A atividade maliciosa associada a essas vulnerabilidades está ligada a um botnet conhecido como Quad7, utilizado por um ator de ameaças vinculado à China. A falta de relatórios públicos sobre a exploração dessas falhas não diminui a urgência de ações corretivas.

Uma grave vulnerabilidade de segurança foi identificada no extensor de alcance sem fio TP-Link TL-WA855RE, permitindo que atacantes maliciosos comprometam completamente a segurança do dispositivo e obtenham acesso administrativo não autorizado. Classificada como CWE-306 (Falta de Autenticação para Função Crítica), essa falha representa uma ameaça significativa à segurança da infraestrutura de rede. O problema permite que atacantes não autenticados, operando na mesma rede, executem um reset de fábrica e sequência de reinicialização ao enviar uma solicitação POST TDDP_RESET especialmente elaborada. Isso contorna todos os mecanismos de autenticação existentes, permitindo que os atacantes redefinam o dispositivo para as configurações de fábrica e estabeleçam novas credenciais administrativas. A vulnerabilidade explora a implementação do protocolo TDDP (TP-Link Device Discovery Protocol) no firmware do TL-WA855RE. Especialistas recomendam a descontinuação imediata dos dispositivos afetados, especialmente se estiverem fora do suporte. Para organizações que não podem substituir o equipamento imediatamente, a segmentação de rede e o monitoramento de atividades suspeitas são medidas recomendadas para mitigar riscos temporariamente.