Hackers chineses patrocinados pelo estado exploram falha crítica no SharePoint

Uma vulnerabilidade crítica do tipo zero-day em servidores Microsoft SharePoint está sendo ativamente explorada por grupos de hackers patrocinados pelo estado chinês em uma campanha de ciberespionagem em larga escala, confirmaram pesquisadores de segurança. A falha, registrada como CVE-2023-29357, possui a pontuação máxima de gravidade CVSS 9.8 e permite execução remota de código em sistemas SharePoint vulneráveis.

Análise Técnica:
A vulnerabilidade surge de uma validação inadequada de entrada no recurso de conversão de documentos do SharePoint. Os invasores podem explorá-la enviando requisições especialmente criadas para servidores alvo, contornando mecanismos de autenticação para obter privilégios de nível SYSTEM. Isso permite o comprometimento total do servidor e movimentação lateral dentro de redes corporativas.

A Microsoft admitiu estar ciente da vulnerabilidade desde maio de 2023, mas não conseguiu desenvolver uma correção completa antes que exploits começassem a circular em junho. Embora a empresa tenha lançado uma mitigação parcial nas atualizações de julho, analistas confirmam que a solução alternativa pode ser contornada por invasores determinados.

Detalhes da Campanha:
Os ataques em andamento comprometeram aproximadamente 100 organizações em 15 países, com foco especial em:

• Contratados da defesa e agências federais dos EUA
• Empresas industriais e manufatureiras alemãs
• Entidades governamentais do Sudeste Asiático

Evidências apontam para envolvimento de grupos APT ligados à China (suspeita-se de APT40 ou APT31) com base em:

1. Uso consistente de infraestrutura previamente associada a operações chinesas
2. Implantação de variantes de malware personalizadas conhecidas desses agentes de ameaça
3. Padrões de ataque alinhados com as prioridades estratégicas de inteligência da China

Impacto:
A exploração bem-sucedida permite aos invasores:

• Roubar documentos sensíveis e credenciais
• Estabelecer backdoors persistentes
• Mover-se lateralmente para outros sistemas corporativos
• Implantar ransomware ou malware wiper como cargas secundárias

Recomendações de Mitigação:

1. Aplicar a solução alternativa temporária da Microsoft (desativar recursos afetados do SharePoint)
2. Implementar segmentação de rede rigorosa para servidores SharePoint
3. Monitorar eventos anômalos de autenticação
4. Realizar análise forense em busca de indicadores de comprometimento

A Microsoft não forneceu um prazo estimado para uma correção completa, deixando organizações vulneráveis a ataques contínuos. O incidente destaca preocupações crescentes sobre exploração de plataformas de colaboração corporativa por estados-nação.