Um grupo de hackers de língua chinesa recentemente identificado, rastreado como UAT-7237, foi pego visando hospedagem na web e VPN infraestrutura em Taiwan, de acordo com a pesquisa Cisco Talos realizada por Asheer Malhotra, Brandon White e Vitor Ventura.
A campanha destaca como os serviços de hospedagem web continuam sendo um alvo de alto valor para invasores apoiados por governos. Para os compradores de hospedagem, o incidente é um lembrete de que a localização do servidor, a aplicação de patches e as práticas de segurança do seu provedor podem impactar diretamente a segurança do seu site.
O que aconteceu?
Pesquisadores da Cisco Talos revelaram que o UAT-7237 está ativo desde pelo menos 2022. Acredita-se que o grupo seja um subgrupo de um cluster chinês maior de APTs, conhecido como UAT-5918. Ao contrário das equipes de ransomware que atacam e roubam, esta campanha se concentra no acesso furtivo e de longo prazo a sistemas de hospedagem.
Em vez de ganho monetário rápido, os atacantes buscam o controle sobre VPN e infraestrutura de nuvem, ativos que podem dar a eles acesso persistente a comunicações e dados confidenciais.
Como eles invadiram?
Os invasores obtiveram acesso inicial explorando servidores sem patches e expostos à internet. Uma vez lá dentro, eles implantaram uma ferramenta personalizada chamada "SoundBill", que carrega outros payloads, como o Cobalt Strike para controle remoto, e ladrões de credenciais, como o Mimikatz.
Eles também confiaram em:
- Ferramentas de escalonamento de privilégios (JuicyPotato)
- Utilitários de gerenciamento do Windows (SharpWMI, WMICmd)
- VPN clientes e acesso RDP para persistência
- Técnicas de coleta de credenciais, como LSASS dumping
Em vez de abandonar imediatamente os web shells, os invasores instalaram o SoftEther VPN clientes (configurados em chinês), permitindo que eles se movam lateralmente e mantenham presença de longo prazo sem disparar alarmes.
Leituras adicionais desta pesquisa sobre Blog do Cisco Talos; Os IOCs para esta pesquisa também podem ser encontrados aqui Repositório GitHub.
Por que isso é importante para compradores de hospedagem?
Para empresas e desenvolvedores que escolhem um host, este incidente destaca três realidades:
O gerenciamento de patches é crítico
Os invasores exploraram sistemas desatualizados. Um provedor de hospedagem confiável deve atualizar o software rapidamente, sem expor os clientes a vulnerabilidades conhecidas.
A segurança faz parte do tempo de atividade
Falamos frequentemente em garantias de disponibilidade, mas um servidor comprometido pode ser tão prejudicial quanto uma indisponibilidade. Se o seu provedor de hospedagem não proteger sua infraestrutura, seu site poderá se tornar um dano colateral em uma campanha de espionagem maior.
Vale a pena considerar a segurança gerenciada
A hospedagem compartilhada geralmente oferece isolamento limitado. VPS ou gerenciado WordPress a hospedagem geralmente oferece camadas de segurança mais fortes, incluindo isolamento de contêineres, firewalls dedicados ou monitoramento de malware, que reduzem os riscos de vizinhos no mesmo servidor.
Lições para usuários de hospedagem
- Escolha um host que suporte aplicação de patches proativa. Pergunte com que rapidez eles implantam atualizações de segurança.
- Procure provedores que incluam verificação de malware, detecção de intrusão ou DDoS protecção.
- Se estiver executando cargas de trabalho sensíveis, considere hospedagem VPS ou hospedagem dedicada, que isolam recursos e reduzem o risco de movimento lateral.
- Monitore a atividade da sua própria conta. Mesmo que seu host gerencie a segurança, você ainda deve ficar atento a tentativas de login incomuns ou novos processos.
Considerações finais da análise do Fortune Dragon
Campanhas de ciberespionagem como a UAT-7237 nos lembram que a infraestrutura de hospedagem web está no centro tanto das operações comerciais quanto dos interesses de segurança global. Embora esta campanha tenha como alvo Provedores taiwaneses, as técnicas (exploração de servidores desatualizados, instalação VPN backdoors, coleta de credenciais) não são limitados pela geografia.
Para proprietários de sites, a lição é simples: Escolha um host que leve a segurança a sério.
Não importa se você administra uma loja de comércio eletrônico, uma plataforma de associação ou um site comercial, a velocidade de aplicação de patches e a postura de segurança do seu host afetam diretamente sua exposição ao risco.
Como sempre, recomendamos analisar as opções de hospedagem levando em consideração o desempenho e a segurança.
