Código HTML do Conteúdo
Post: Microsoft: Bug Crítico do GoAnywhere Explorado no Campo do Medusa Ransomware
<div>
<div>
<div>
<div data-edit-folder-name="text" data-index="0" data-layout-id="2" id="layout-b512c391-bbd5-4e1b-9372-77d3fe6866e5">
<p>Uma vulnerabilidade na ferramenta GoAnywhere Managed File Transfer (MFT) da Fortra com uma pontuação CVSS de 10,0 está sendo explorada ativamente em ataques de ransomware, alertou a Microsoft.</p>
<p>A gigante da tecnologia publicou uma postagem no blog ontem para pedir aos clientes que corrijam o CVE-2025-10035: uma falha crítica de desserialização no Console de Administração do Servlet de Licença do GoAnywhere MFT.</p>
<p>“Ele permite que um invasor ignore a verificação de assinatura criando uma assinatura de resposta de licença forjada, que permite a desserialização de objetos arbitrários controlados pelo invasor”, explicou a Microsoft.</p>
<p>“A exploração bem-sucedida pode resultar em injeção de comando e potencial RCE [remote code execution] no sistema afetado. Relatórios públicos indicam que a exploração não requer autenticação se o invasor puder criar ou interceptar respostas de licença válidas, tornando essa vulnerabilidade particularmente perigosa para instâncias expostas à Internet.”</p>
<p>Após a exploração, os agentes de ameaças podem realizar a descoberta do sistema e do usuário, manter o acesso de longo prazo e implantar outras ferramentas para movimento lateral e malware, acrescentou.</p>
<p><a href="https://www.infosecurity-magazine.com/news/exploit-code-critical-fortra/" target="_blank"><em>Leia mais sobre GoAnywhere: Código de exploração lançado para o bug crítico do Fortra GoAnywhere</em></a></p>
<p>Embora corrigida pelo desenvolvedor Fortra em 18 de setembro, a vulnerabilidade foi originalmente explorada como um dia zero uma semana antes (11 de setembro) pelo grupo de ameaças Storm-1175.</p>
<p>Após o acesso inicial, o grupo lançou binários de ferramentas legítimas de monitoramento e gerenciamento remoto (RMM) SimpleHelp e MeshAgent, usou ferramentas como netscan para descoberta de rede e moveu-se lateralmente usando o cliente Microsoft Remote Desktop Connection (“mstsc.exe”).</p>
<p>“Para comando e controle (C2), o agente da ameaça utilizou ferramentas RMM para estabelecer sua infraestrutura e até mesmo configurar um túnel Cloudflare para comunicação C2 segura”, continuou o relatório.</p>
<p>“Durante o estágio de exfiltração, a implantação e execução do Rclone foram observadas em pelo menos um ambiente de vítima. Em última análise, em um ambiente comprometido, a implantação bem-sucedida do ransomware Medusa foi observada.”</p>
<p>De acordo com a Shadowserver Foundation, existem 513 instâncias do GoAnywhere atualmente expostas, a maioria das quais (363) está localizada na América do Norte.</p>
<h2>Medusa ataca novamente</h2>
<p>Identificada pela primeira vez em 2021, a Medusa prendeu mais de 300 vítimas globais em setores de infraestrutura crítica,<a href="https://www.infosecurity-magazine.com/news/cisa-fbi-warn-medusa-ransomware/" target="_blank">de acordo com um comunicado conjunto de março</a> publicado pela Agência de Segurança Cibernética e Infraestrutura (CISA), pelo FBI e pelo Centro de Análise e Compartilhamento de Informações Multiestaduais (MS-ISAC).</p>
<p>Ela <a href="https://www.infosecurity-magazine.com/news/medusa-claims-victims-2025/" target="_blank">Mais de 40 vítimas</a> apenas nos primeiros dois meses de 2025, incluindo um ataque confirmado a uma organização de saúde dos EUA.</p>
<p>Os afiliados que usam a variante ransomware-as-a-service geralmente obtêm acesso inicial por meio de campanhas de phishing ou explorando vulnerabilidades de software não corrigidas. Em campanhas anteriores, eles usaram um desvio de autenticação do ScreenConnect (CVE-2024-1709) e uma falha de injeção de SQL do Fortinet EMS (CVE-2023-48788).</p>
<p><a href="https://www.microsoft.com/en-us/security/blog/2025/10/06/investigating-active-exploitation-of-cve-2025-10035-goanywhere-managed-file-transfer-vulnerability/" target="_blank">Microsoft instou</a>Os clientes do GoAnywhere para:</p>
<ul>
<li>Atualize para a versão mais recente do software de acordo com<a href="https://www.goanywhere.com/resources/articles/how-to-upgrade-goanywhere-mft" target="_blank">Recomendações de Fortra</a></li>
<li>Use um produto de gerenciamento de superfície de ataque corporativo para descobrir sistemas sem patch no perímetro da rede</li>
<li>Verifique o firewall e o proxy do perímetro para garantir que os servidores não tenham permissão para acessar a Internet para conexões arbitrárias, como navegação e downloads</li>
<li>Ferramentas de detecção e resposta (EDR) de endpoint de execução no modo de bloqueio para corrigir artefatos mal-intencionados detectados após a violação</li>
<li>Ligarmodo de bloqueioem produtos antivírus corporativos</li>
</ul>
</div>
</div>
</div></div>