A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos, a CISA, publicou os resultados de duas avaliações de red team realizadas simultaneamente contra duas organizações de infraestrutura crítica. Segundo a agência, os ataques usaram táticas semelhantes, mas produziram resultados defensivos bastante diferentes.
Nos dois casos, as organizações foram totalmente comprometidas no nível de domínio, e em ambas o red team também alcançou sistemas empresariais sensíveis e recursos em cloud.
O comunicado, identificado como AA26-237A e intitulado “A Tale of Two SOCs”, foi divulgado em 25/08/2026. A CISA identificou o primeiro alvo apenas como uma organização do setor de Serviços e Instalações Governamentais, referida como Organização A, e o segundo como uma entidade do setor de Água e Esgoto, chamada de Organização B.
“A CISA conduziu duas avaliações simultâneas de red team usando táticas semelhantes, mas observou respostas defensivas diferentes”, afirmou a agência no comunicado.
Contra a Organização A, o red team obteve acesso inicial ao encontrar uma aplicação web com credenciais padrão para várias contas nativas, o que permitiu o envio de phishing a partir de um endereço interno e o acesso a quatro estações de trabalho.
Em seguida, elevou privilégios ao abusar de uma Cota de Contas de Máquina padrão, combinada com um modelo mal configurado do Active Directory Certificate Services, ou AD CS. Trata-se da mesma classe de abuso de modelos de certificados por trás de um exploit de tomada de domínio revelado recentemente, chamado Certighost.
O grupo avançou até três sistemas empresariais sensíveis usando credenciais armazenadas em texto claro, incluindo arquivos de configuração de banco de dados descriptografados e chaves de acesso estáticas da Amazon Web Services, AWS, definidas para nunca expirar.
Na cloud, o red team roubou um Primary Refresh Token e abusou de aplicativos do Entra ID com permissões elevadas para ler os e-mails da equipe de segurança e verificar se os defensores tinham conhecimento da atividade.
A Organização A não detectou nenhuma dessas ações. A CISA informou que milhares de alertas falsos gerados por operações normais de negócio, muitos deles classificados com severidade mais alta, ofuscaram os alertas emitidos pelo red team. A agência também afirmou que a organização operava múltiplos centros de operações de segurança, ou SOCs, e ferramentas de endpoint sem visibilidade compartilhada entre eles.
Os analistas também não tinham procedimentos de escalonamento e dispunham de autoridade limitada para agir. Além disso, um alerta real ligado à atividade do red team em um servidor do System Center Configuration Manager, SCCM, foi descartado como falso positivo depois que os defensores não conseguiram identificar o responsável pelo sistema.
A CISA apontou as seguintes fraquezas como os principais fatores que permitiram o comprometimento:
- Cota de Contas de Máquina mantida no padrão, permitindo que qualquer usuário do domínio adicionasse contas de máquina.
- Modelos de certificado do AD CS mal configurados, permitindo solicitações de certificados para qualquer usuário, no cenário ESC1.
- Credenciais em texto claro de contas de serviço e de banco de dados armazenadas em sistemas acessíveis.
- Chaves de acesso em cloud estáticas, configuradas para nunca expirar, sem revogação de token.
- Aplicativos com permissões excessivas no Entra ID, capazes de ler e-mails de todos os usuários.
A Organização B, atacada com a mesma abordagem, apresentou um cenário diferente. Seu SOC detectou os payloads iniciais de phishing no momento em que foram executados e isolou as estações de trabalho afetadas em 2 a 20 minutos, cortando as comunicações de command and control, C2, antes que a intrusão se espalhasse.
Como esse ponto de apoio foi interrompido, os agentes de confiança da CISA na organização executaram um payload de red team em um host não privilegiado designado para replicar o acesso que o grupo teria obtido, mudando o exercício para um modelo assume-breach.
A partir daí, o grupo encontrou os mesmos problemas estruturais, incluindo credenciais em texto claro para uma conta de serviço de domínio em um arquivo de configuração do SCCM, com privilégios sobre um controlador de domínio. Com isso, executou um ataque DCSync e obteve o segredo krbtgt.
O red team também alcançou um servidor bastião na zona desmilitarizada de tecnologia operacional, ou OT, da Organização B. No entanto, o servidor bloqueava acesso de saída à internet, de modo que nenhum canal de C2 foi estabelecido, e o grupo não chegou a entrar nos sistemas de OT.
A CISA atribuiu a diferença entre os dois resultados às pessoas e aos processos que operavam as ferramentas, e não às ferramentas em si.
“As ferramentas de detecção são tão eficazes quanto as pessoas, os processos e os procedimentos que as sustentam”, afirmou a agência.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...