RECOMENDAÇÃO 04/2026

1. O CTIR Gov informa sobre a intensificação de campanhas cibernéticas envolvendo phishing, exploração de vulnerabilidades críticas, comprometimento de identidades e exfiltração de dados. Observa-se o aumento da sofisticação, uso de automação e redução do tempo entre o acesso inicial e a exfiltração.

2. As campanhas identificadas ocorrem, em geral, por meio de engenharia social, utilizando links encurtados ou arquivos maliciosos que induzem o usuário à execução de conteúdos aparentemente legítimos. Após a interação, podem ser acionados comandos via PowerShell ou JavaScript a partir de arquivos como .LNK ou .url, permitindo o download de scripts e a execução de ações maliciosas. Em alguns casos, ferramentas legítimas, como o RCLONE, são utilizadas para exfiltração de dados para serviços em nuvem, dificultando a detecção. Também foram observadas campanhas que exploram o fluxo de autenticação por device code do Microsoft 365, permitindo a obtenção de tokens válidos mesmo em ambientes com MFA, além de técnicas para captura de hashes NTLMv2 e movimentação lateral. Adicionalmente, há exploração ativa de vulnerabilidades críticas em sistemas amplamente utilizados, possibilitando execução remota de código e comprometimento de ambientes.

3. Como identificar o comprometimento?

- Análise de Endpoints: Identificar execuções suspeitas de powershell.exe, wscript.exe, bem como abertura de arquivos .LNK e .url com comportamento anômalo.

- Logs de Segurança: Monitorar eventos de criação de processos (Event ID 4688), com atenção a comandos contendo download remoto, uso de encoding (Base64) ou ofuscação.

- Monitoramento de Identidade: Revisar logs do Entra ID para autenticações via device code flow, criação de sessões persistentes e uso indevido de tokens OAuth.

- Tráfego de Rede: Inspecionar conexões para serviços como Mega.nz, infraestrutura Cloudflare Workers e Railway, além de domínios recém-criados.

4. Recomendações:

- Controle de Execução: Implementar políticas de controle de aplicações, como WDAC ou AppLocker, para restringir execução de scripts (PowerShell, JavaScript) e binários em diretórios de usuário.

- Proteção de Identidade: Monitorar e restringir fluxos de autenticação como device code, além de revogar refresh tokens e sessões suspeitas.

- Correção de Vulnerabilidades: Priorizar a aplicação de patches para CVEs críticas, especialmente em ambientes Microsoft, Cisco, Oracle e SharePoint.

- Monitoramento Avançado: Intensificar a detecção de uso de ferramentas como RCLONE, execução de scripts e possíveis tentativas de exfiltração para serviços em nuvem.

- Restrição de Serviços: Limitar exposição de serviços Oracle (portas 7001/7002) e monitorar protocolos como T3 e IIOP.

- Campanha Educativa: Orientar usuários quanto a riscos de phishing, links encurtados e solicitações de autenticação fora do padrão.

- Preservação de Logs: Garantir retenção de logs de identidade, EDR, proxy, DNS e firewall para análise e resposta a incidentes.

Em caso de suspeita ou confirmação de incidente relacionado aos vetores de ataque descritos, o órgão deve reportar a ocorrência de imediato ao CTIR Gov (ctir@ctir.gov.br).

[TLP:CLEAR]