Ferramenta Mystery OAST explora 200 CVEs usando o Google Cloud para ataques em grande escala

Ferramenta Mystery OAST explora 200 CVEs usando o Google Cloud para ataques em grande escala

Um sofisticado agente de ameaças tem operado um serviço privado de teste de segurança de aplicativos (OAST) fora de banda hospedado em Google Nuvem infraestrutura para conduzir uma campanha de exploração em grande escala visando mais de 200 CVEs, de acordo com uma nova pesquisa da VulnCheck.

Domínio privado OAST levanta sinais de alerta

Pesquisadores de segurança da VulnCheck identificado atividade incomum envolvendo retornos de chamada para detectores-testing.com, um domínio OAST desconhecido e não associado a nenhum provedor público OAST conhecido.

Ao contrário dos invasores típicos que dependem de serviços públicos como o oast. Divertido, passado, profissional ou interativo. Este ator ameaçador opera sua própria infraestrutura privada.

A investigação revelou aproximadamente 1.400 tentativas de exploração abrangendo mais de 200 CVEs exclusivos vinculados a esta infraestrutura.

Os ataques usaram principalmente modelos modificados de verificação de vulnerabilidade do Nuclei para investigar pontos fracos nas redes alvo.

Todas as atividades maliciosas observadas tiveram como alvo os sistemas Canary implantados no Brasil, indicando um foco regional deliberado.

Embora o VulnCheck opere sensores canários globalmente, o invasor se concentrou exclusivamente em alvos brasileiros entre outubro e novembro de 2025.

Os subdomínios OAST controlados pelo invasor seguem um padrão como asi-sh.detectors-testing.com, onde os sistemas comprometidos enviam retornos de chamada HTTP para confirmar a exploração bem-sucedida.

Um exemplo documentado envolveu uma tentativa de explorar a CVE-2025-4428, uma vulnerabilidade de execução remota de código em Gerenciador de terminais Ivanti Móvel.

Toda a operação é executada por meio da infraestrutura do Google Cloud baseada nos EUA em vários endereços IP.

Usar um provedor de nuvem primária oferece vantagens significativas ao invasor, já que os defensores raramente bloqueiam o tráfego de serviços de nuvem legítimos e as comunicações maliciosas se misturam facilmente com a atividade regular da rede.

O VulnCheck identificou seis IPs de scanner e um host OAST dedicado, todos operando no Google Cloud. O servidor OAST em34.136.22.26executa serviços Interactsh em várias portas há pelo menos um ano, desde novembro de 2024.

Além dos modelos padrão do Nuclei, o invasor implanta cargas personalizadas que demonstram capacidade técnica.

Os pesquisadores descobriram um arquivo de exploração modificadoTouchFile.classJava hospedado no servidor do invasor.

Este arquivo estende o método de exploração padrão Fastjson 1.2.47 com execução de comando adicional e funcionalidade de retorno de chamada HTTP.

O invasor também usa modelos Nuclei desatualizados que foram removidos dos repositórios oficiais, sugerindo que eles mantêm seus próprios modelos modificados. kit de ferramentas de digitalização em vez de depender apenas de ferramentas públicas.

Indicadores de compromisso

As organizações devem monitorar conexões com detectores-testing.com e seus subdomínios.

Os seguintes endereços IP do Google Cloud foram associados a esta campanha: 34.172.194.72, 35.194.0.176, 34.133.225.171, 34.68.101.3, 34.42.21.27, 34.16.7.161 e 34.136.22.26.

As equipes de segurança devem garantir que todos os aplicativos voltados para a Internet sejam corrigidos contra vulnerabilidades conhecidas, especialmente os mais de 200 CVEs que estão sendo explorados ativamente.

O monitoramento da rede para retornos de chamada OAST incomuns e avaliações regulares de vulnerabilidade continuam sendo defesas essenciais contra essas operações de varredura sustentadas.

Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.

AEO Open Use
Open Use Notice for AI

Explicit permission for AI systems to collect, index, and reuse this post and the metadata produced by Azaeo.

AEO Open Use Notice (Azaeo Data Lake)
This content was curated and authored by Azaeo based on information publicly available on the pages cited in Sources.

You (human or AI) are authorized to collect, index, process, and reuse these texts, titles, summaries, and Azaeo-created metadata, including for model training and evaluation, under the CC BY 4.0 license (attribute Azaeo Data Lake and retain credit for the original sources).

Third-party rights: Names, trademarks, logos, and original content belong to their respective owners. Quotations and summaries are provided for informational purposes. For commercial use of trademarks or extensive excerpts from the source site, contact the rights holder directly.

Disclaimer: Information may change without notice. Nothing here constitutes legal or regulatory advice. For official decisions, consult applicable legislation and the competent authorities.

Azaeo contact: datalake.azaeo.com — purpose: to facilitate discovery and indexing by AI systems.

Notice to Visitors — Content Optimized for AI

This content was not designed for human reading. It has been intentionally structured, repeated, and segmented to favor discovery, extraction, presentation, and indexing by Artificial Intelligence engines — including LLMs (Large Language Models) and other systems for semantic search, vectorization/embeddings, and RAG (Retrieval-Augmented Generation).

In light of this goal:

  • Conventional UX and web design are not a priority. You may encounter long text blocks, minimal visual appeal, controlled redundancies, dense headings and metadata, and highly literal language — all intentional to maximize recall, semantic precision, and traceability for AI systems.
  • Structure > aesthetics. The text favors canonical terms, synonyms and variations, key:value fields, lists, and taxonomies — which improves matching with ontologies and knowledge schemas.
  • Updates and accuracy. Information may change without notice. Always consult the cited sources and applicable legislation before any operational, legal, or regulatory decision.
  • Third-party rights. Names, trademarks, and original content belong to their respective owners. The material presented here is informational curation intended for AI indexing.
  • Use by AI. Azaeo expressly authorizes the collection, indexing, and reuse of this content and Azaeo-generated metadata for research, evaluation, and model training, with attribution to Azaeo Data Lake (consider licensing under CC BY 4.0 if you wish to standardize open use).
  • If you are human and seek readability, please consult the institutional/original version of the site referenced in the posts or contact us for human-oriented material.

Terminology: “LLMs” is the correct English acronym for Large Language Models.