CISA confirma ataque via falha GeoServer

A CISA confirmou que agentes maliciosos exploraram uma vulnerabilidade crítica no GeoServer (CVE-2024-36401) para invadir a rede de uma agência federal civil executiva dos Estados Unidos em 2024. A falha, classificada como execução remota de código, havia sido corrigida em junho do mesmo ano, mas servidores não atualizados permaneceram expostos.

Leia também
VirusTotal lança endpoint Code Insight
Exploração ativa de zero-day no Chrome

Segundo a CISA, os atacantes comprometeram dois servidores da agência poucas semanas após a divulgação de provas de conceito públicas, utilizando o acesso inicial para avançar lateralmente até um servidor web e um SQL Server. Nesses ambientes, tentaram instalar web shells como China Chopper e scripts para persistência, execução de comandos e elevação de privilégios.

Os invasores recorreram a técnicas de força bruta para roubo de credenciais e também abusaram de contas de serviço, mantendo-se ativos por três semanas até que a ferramenta de EDR da agência sinalizou comportamento suspeito. O incidente foi contido após o isolamento do servidor comprometido e a abertura de investigação com apoio da CISA.

A agência de cibersegurança norte-americana reforçou a necessidade de aplicar rapidamente correções em vulnerabilidades críticas, monitorar continuamente alertas de EDR e fortalecer planos de resposta a incidentes. O episódio expõe o risco elevado de falhas não corrigidas em softwares amplamente utilizados em ambientes governamentais e críticos.