Os agentes de ameaças cibernéticas têm explorado uma vulnerabilidade no Triofox, uma plataforma de compartilhamento de arquivos e acesso remoto, e a acorrentaram ao abuso do recurso antivírus integrado para obter a execução do código.
O cluster de atividades de ameaças que conduz a exploração é rastreado como UNC6485 pelo Mandiant Threat Defense e pelo Google Threat Intelligence Group (GTIG) do Google, de acordo com Um novo relatório publicado em 10 de novembro.
A vulnerabilidade, CVE-2025-12480, foi descoberto e relatado pela Mandiant em 10 de novembro. É uma falha crítica de controle de acesso impróprio (CVSS: 9.8) que afeta as versões do Triofox anteriores a 16.7.10368.56560.
Quando explorado, ele permite que um invasor obtenha acesso às páginas de configuração inicial mesmo após a conclusão da configuração, permitindo o upload e a execução de cargas arbitrárias.
O Google entrou em contato com a Gladinet antes de divulgar a vulnerabilidade.
A gigante da tecnologia confirmou que o proprietário do software lançou uma versão corrigida do Triofox, 16.7.10368.56560, em junho.
No entanto, a campanha de exploração começou em agosto, com UNC6485 explorando o CVE-2025-12480 em versões mais antigas do Triofox.
Como UNC64485 explorado CVE-2025-12480
A Mandiant detectou a campanha maliciosa enquanto respondia a um incidente de segurança e avaliou que ela começou em 14 de agosto de 2025.
Os pesquisadores identificaram uma entrada anômala no arquivo de log HTTP – um cabeçalho de host localhost – que eles descreveram como “altamente irregular” em uma solicitação originada de uma fonte externa e “normalmente não esperada em tráfego legítimo”.
“A investigação revelou uma vulnerabilidade de acesso não autenticado que permitia o acesso às páginas de configuração. UNC6485 usou essas páginas para executar o processo inicial de configuração do Triofox para criar uma nova conta de administrador nativo, Cluster Admin, e usou essa conta para realizar atividades subsequentes”, escreveram os pesquisadores da Mandiant e do GTIG no relatório.
A Mandiant descobriu que os invasores exploraram uma vulnerabilidade de cabeçalho HTTP Host falsificando localhost em solicitações, ignorando os controles de acesso para acessar a página de configuração do AdminDatabase.aspx normalmente restrita.
Ao abusar dessa configuração incorreta, em que a função CanRunCriticalPage() dependia apenas do cabeçalho de host não validado, eles acionaram o processo de inicialização do Triofox, criando uma nova conta nativa de ‘Administrador de cluster’ com privilégios totais.
A falha resultou da falta de validação de origem e dependência excessiva do cabeçalho do host, permitindo acesso remoto não autenticado a páginas de configuração críticas.
Para obter a execução do código, os invasores fizeram login usando a conta de administrador recém-criada e carregaram arquivos maliciosos para executá-los usando o recurso antivírus integrado.
Para configurar o recurso antivírus, o usuário tem permissão para fornecer um caminho arbitrário para o antivírus selecionado. O arquivo configurado como o local do mecanismo de varredura antivírus herda os privilégios da conta do processo pai do Triofox, em execução no contexto da conta SYSTEM.
Os invasores conseguiram executar seu script de lote malicioso configurando o caminho do mecanismo antivírus para apontar para o script.
Em seguida, ao carregar um arquivo arbitrário para qualquer compartilhamento publicado na instância do Triofox, o script configurado será executado.
Depois de obter acesso inicial, os invasores implantaram um instalador disfarçado do Zoho Unified Endpoint Management System (UEMS) via PowerShell para descartar o Zoho Assist e o AnyDesk para controle remoto.
Os invasores então usaram essas ferramentas para enumerar sessões de Server Message Block (SMB), escalar privilégios modificando associações de grupo de domínio/administrador e exfiltrar credenciais.
Para persistência e evasão, eles estabeleceram um túnel SSH via Plink/PuTTY para seu servidor de comando e controle (C2), permitindo acesso secreto ao protocolo de área de trabalho remota (RDP) pela porta 433 enquanto mascaram o tráfego como atividade legítima de gerenciamento remoto.
Atualize o Triofox, audite contas de administrador e procure ferramentas de invasores
Embora a vulnerabilidade CVE-2025-12480 tenha sido corrigida desde junho, a campanha maliciosa identificada pela Mandiant mostra evidências de que os agentes de ameaças estavam explorando versões não corrigidas do Triofox em agosto.
Portanto, o relatório GTIG instou os usuários do Triofox não apenas a atualizar para a versão mais recente, mas também recomendou auditar contas de administrador e verificar se o mecanismo antivírus do Triofox não está configurado para executar scripts ou binários não autorizados.
“As equipes de segurança também devem procurar ferramentas de ataque usando nosso hunting listadas na parte inferior deste post e monitorar o tráfego SSH de saída anômalo”, concluiu o relatório.
Outra vulnerabilidade que afeta o Triofox, rastreada como CVE-2025-11371, foi recentemente adicionado à Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) Catálogo de vulnerabilidades exploradas conhecidas (KEV).