⚡ Não perca: notícia importante no ar! ⚡
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) publicou os resultados de duas avaliações da equipe vermelha que conduziu simultaneamente contra duas organizações de infraestrutura crítica, usando o que descreveu como técnicas comerciais semelhantes, ao mesmo tempo em que registrou resultados defensivos nitidamente diferentes.
Ambas as organizações foram totalmente comprometidas no nível do domínio e, em ambas, a equipe vermelha também alcançou sistemas de negócios confidenciais (SBSs) e recursos de nuvem.
O comunicado, rastreado como AA26-237A e intitulado "A Tale of Two SOCs", foi lançado em 25 de agosto de 2026. A CISA identificou o primeiro alvo apenas como uma organização do Setor de Serviços e Instalações Governamentais, referida como Organização A, e o segundo como uma entidade do Setor de Sistemas de Água e Águas Residuais, referida como Organização B.
“A CISA conduziu duas avaliações simultâneas da equipe vermelha usando técnicas semelhantes, mas observou respostas defensivas diferentes”, disse a agência no comunicado.
Contra a Organização A, a equipe vermelha obteve acesso inicial após identificar um aplicativo da web com credenciais padrão para várias contas integradas, o que permitiu enviar e-mails de phishing de um endereço interno e chegar a quatro estações de trabalho.
Em seguida, ele aumentou os privilégios abusando de uma cota de conta de máquina padrão junto com um modelo mal configurado dos Serviços de Certificados do Active Directory (AD CS), a mesma classe de abuso de modelo de certificado por trás de uma exploração de controle de domínio recentemente divulgada chamada Certighost.
A equipe acessou três sistemas comerciais confidenciais usando credenciais armazenadas em texto não criptografado, incluindo arquivos de configuração de banco de dados descriptografados e chaves de acesso estáticas da Amazon Web Services (AWS) definidas para nunca expirarem.
Na nuvem, ele roubou um token de atualização primário e abusou de aplicativos Entra ID que carregavam permissões elevadas para ler o e-mail da equipe de segurança e verificar se os defensores estavam cientes da atividade.
A Organização A não detectou nada disso. A CISA disse que milhares de alertas falsos positivos de operações comerciais normais, muitos classificados com maior gravidade, obscureceram os alertas gerados pela equipe vermelha e que a organização executou vários centros de operações de segurança (SOCs) e ferramentas de endpoint sem visibilidade compartilhada entre eles.
Os analistas também não tinham procedimentos de escalonamento e tinham autoridade limitada para agir, e um alerta real vinculado à atividade da equipe vermelha em um servidor System Center Configuration Manager (SCCM) foi descartado como um falso positivo depois que os defensores não conseguiram identificar o proprietário do sistema.
A CISA sinalizou as seguintes fraquezas como os principais facilitadores do compromisso -
Cota de conta de máquina deixada no padrão, permitindo que qualquer usuário do domínio adicione contas de máquina.
Os modelos de certificado AD CS foram configurados incorretamente, permitindo solicitações de certificado para qualquer usuário (ESC1).
Credenciais de texto simples para contas de serviço e de banco de dados armazenadas em sistemas acessíveis.
Chaves estáticas de acesso à nuvem definidas para nunca expirarem, sem revogação de token em vigor.
Aplicativos com permissões excessivas no Entra ID conseguem ler e-mails de todos os usuários.
A Organização B, executando o mesmo estilo de ataque contra ela, contou uma história diferente. Seu SOC detectou as cargas iniciais de phishing à medida que cada uma delas era executada e isolou as estações de trabalho afetadas dentro de 2 a 20 minutos, cortando as comunicações de comando e controle (C2) antes que a intrusão pudesse se espalhar.
Como essa posição foi cortada, os agentes de confiança da CISA na organização executaram uma carga útil da equipe vermelha em um host não privilegiado designado para replicar o acesso que a equipe teria obtido de outra forma, mudando o envolvimento para um modelo de suposição de violação.
A partir daí, a equipe encontrou os mesmos problemas subjacentes, incluindo credenciais de texto não criptografado para uma conta de serviço de domínio em um arquivo de configuração SCCM que carregava direitos sobre um controlador de domínio, usado para executar um ataque DCSync e recuperar o segredo krbtgt.
A equipe também alcançou um host bastião na zona desmilitarizada de tecnologia operacional (OT) da Organização B, mas o host bloqueou o acesso de saída à Internet, de modo que nenhum canal C2 foi estabelecido e a equipe não entrou nos sistemas OT.
A CISA atribuiu a lacuna entre os dois resultados às pessoas e aos processos que operam as ferramentas, e não às próprias ferramentas.
“As ferramentas de detecção são tão eficazes quanto as pessoas, processos e procedimentos que as apoiam”, disse a agência.
Ambas as organizações foram totalmente comprometidas no nível do domínio e, em ambas, a equipe vermelha também alcançou sistemas de negócios confidenciais (SBSs) e recursos de nuvem.
O comunicado, rastreado como AA26-237A e intitulado "A Tale of Two SOCs", foi lançado em 25 de agosto de 2026. A CISA identificou o primeiro alvo apenas como uma organização do Setor de Serviços e Instalações Governamentais, referida como Organização A, e o segundo como uma entidade do Setor de Sistemas de Água e Águas Residuais, referida como Organização B.
“A CISA conduziu duas avaliações simultâneas da equipe vermelha usando técnicas semelhantes, mas observou respostas defensivas diferentes”, disse a agência no comunicado.
Contra a Organização A, a equipe vermelha obteve acesso inicial após identificar um aplicativo da web com credenciais padrão para várias contas integradas, o que permitiu enviar e-mails de phishing de um endereço interno e chegar a quatro estações de trabalho.
Em seguida, ele aumentou os privilégios abusando de uma cota de conta de máquina padrão junto com um modelo mal configurado dos Serviços de Certificados do Active Directory (AD CS), a mesma classe de abuso de modelo de certificado por trás de uma exploração de controle de domínio recentemente divulgada chamada Certighost.
A equipe acessou três sistemas comerciais confidenciais usando credenciais armazenadas em texto não criptografado, incluindo arquivos de configuração de banco de dados descriptografados e chaves de acesso estáticas da Amazon Web Services (AWS) definidas para nunca expirarem.
Na nuvem, ele roubou um token de atualização primário e abusou de aplicativos Entra ID que carregavam permissões elevadas para ler o e-mail da equipe de segurança e verificar se os defensores estavam cientes da atividade.
A Organização A não detectou nada disso. A CISA disse que milhares de alertas falsos positivos de operações comerciais normais, muitos classificados com maior gravidade, obscureceram os alertas gerados pela equipe vermelha e que a organização executou vários centros de operações de segurança (SOCs) e ferramentas de endpoint sem visibilidade compartilhada entre eles.
Os analistas também não tinham procedimentos de escalonamento e tinham autoridade limitada para agir, e um alerta real vinculado à atividade da equipe vermelha em um servidor System Center Configuration Manager (SCCM) foi descartado como um falso positivo depois que os defensores não conseguiram identificar o proprietário do sistema.
A CISA sinalizou as seguintes fraquezas como os principais facilitadores do compromisso -
Cota de conta de máquina deixada no padrão, permitindo que qualquer usuário do domínio adicione contas de máquina.
Os modelos de certificado AD CS foram configurados incorretamente, permitindo solicitações de certificado para qualquer usuário (ESC1).
Credenciais de texto simples para contas de serviço e de banco de dados armazenadas em sistemas acessíveis.
Chaves estáticas de acesso à nuvem definidas para nunca expirarem, sem revogação de token em vigor.
Aplicativos com permissões excessivas no Entra ID conseguem ler e-mails de todos os usuários.
A Organização B, executando o mesmo estilo de ataque contra ela, contou uma história diferente. Seu SOC detectou as cargas iniciais de phishing à medida que cada uma delas era executada e isolou as estações de trabalho afetadas dentro de 2 a 20 minutos, cortando as comunicações de comando e controle (C2) antes que a intrusão pudesse se espalhar.
Como essa posição foi cortada, os agentes de confiança da CISA na organização executaram uma carga útil da equipe vermelha em um host não privilegiado designado para replicar o acesso que a equipe teria obtido de outra forma, mudando o envolvimento para um modelo de suposição de violação.
A partir daí, a equipe encontrou os mesmos problemas subjacentes, incluindo credenciais de texto não criptografado para uma conta de serviço de domínio em um arquivo de configuração SCCM que carregava direitos sobre um controlador de domínio, usado para executar um ataque DCSync e recuperar o segredo krbtgt.
A equipe também alcançou um host bastião na zona desmilitarizada de tecnologia operacional (OT) da Organização B, mas o host bloqueou o acesso de saída à Internet, de modo que nenhum canal C2 foi estabelecido e a equipe não entrou nos sistemas OT.
A CISA atribuiu a lacuna entre os dois resultados às pessoas e aos processos que operam as ferramentas, e não às próprias ferramentas.
“As ferramentas de detecção são tão eficazes quanto as pessoas, processos e procedimentos que as apoiam”, disse a agência.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #a #equipe #vermelha #da #cisa #comprometeu #duas #organizações #de #infraestrutura #crítica, #uma #não #detectou #nada
🎉 Obrigado por acompanhar, até a próxima notícia!
Postar um comentário