Relatório Google: 50% dos Zero-Days de 2025 miraram tecnologia empresarial

Um novo relatório do Grupo de Análise de Ameaças (TAG) do Google e de pesquisadores de segurança emite um alerta contundente para o mundo corporativo: o campo de batalha dos zero-days mudou decisivamente. Em 2025, impressionantes 50% de todas as vulnerabilidades zero-day exploradas ativamente e rastreadas pelo Google foram encontradas em tecnologias específicas do ambiente empresarial. Isso representa uma mudança estratégica fundamental por parte de agentes de ameaça sofisticados, que vão além de alvos de consumo em massa para realizar ataques de precisão na infraestrutura de negócios que impulsiona a economia global.

O Relatório de Vulnerabilidades Zero-Day 2025 indica que os atacantes não estão mais interessados apenas em comprometer usuários individuais por meio de navegadores ou sistemas operacionais de consumo amplamente implantados. Em vez disso, eles estão mirando meticulosamente o software que forma a espinha dorsal dos stacks de TI e segurança corporativa. Isso inclui vulnerabilidades nas próprias soluções de segurança empresarial —como firewalls, sistemas de detecção de intrusão e plataformas de proteção de endpoints—, criando um cenário perigoso em que as ferramentas confiáveis para defesa se tornam vetores de intrusão. Appliances de rede de grandes fornecedores e plataformas de colaboração empresarial amplamente adotadas também figuraram de forma proeminente nesses ataques.

O objetivo é claro: acesso persistente e profundo a redes corporativas. Ao explorar um zero-day em um produto de segurança empresarial, um atacante pode potencialmente desativar o monitoramento de segurança, mover-se lateralmente sem ser detectado e estabelecer uma posição duradoura para espionagem ou roubo de dados. Esse foco na 'tecnologia empresarial' sugere que os agentes de ameaça, particularmente grupos patrocinados por Estados e sindicatos cibercriminosos altamente organizados, estão investindo recursos significativos na pesquisa desses alvos complexos e de alto valor para maximizar o retorno.

Um caso de estudo ao vivo: A cadeia de exploits da Qualcomm-Android

Em paralelo às conclusões do relatório, o Google TAG divulgou publicamente uma sofisticada cadeia de exploits que serve como exemplo paradigmático da complexidade dos ataques modernos e da superfície de ataque estendida. A investigação revelou que os atacantes comprometeram com sucesso dispositivos Android encadeando múltiplas vulnerabilidades, com uma falha crítica residente no driver de GPU Adreno da Qualcomm.

Não se tratou de um simples bug em nível de aplicativo. O exploit visava um componente profundamente embutido no system-on-a-chip (SoC) do dispositivo: a unidade de processamento gráfico. Ao explorar essa vulnerabilidade do driver de GPU (rastreada como CVE-2025-XXXX), os atacantes poderiam executar código arbitrário com privilégios elevados do kernel. Esse nível de acesso permite o comprometimento total do dispositivo, a exfiltração de dados e uma persistência extremamente difícil de detectar ou remover.

O caso da Qualcomm ressalta várias tendências alarmantes:

1. Profundidade da Cadeia de Suprimentos: Os ataques estão sondando mais profundamente a cadeia de suprimentos de hardware e firmware, mirando componentes fornecidos por terceiros como a Qualcomm que são integrados em bilhões de dispositivos.
2. Sofisticação na Evasão: Explorar uma falha em um driver de GPU é uma técnica avançada que contorna muitas medidas de segurança de alto nível focadas no sistema operacional ou nos aplicativos.
3. Implicações Empresariais: Embora esse exploit específico tenha visado dispositivos móveis, celulares e tablets Android comprometidos são onipresentes em ambientes empresariais (BYOD, dispositivos corporativos), fornecendo um ponto de apoio inicial perfeito em uma rede corporativa.

Análise: O 'porquê' por trás da guinada empresarial

Analistas de segurança apontam vários fatores convergentes que impulsionam essa mudança:

• Maiores Apostas, Maiores Recompensas: Redes corporativas abrigam propriedade intelectual, dados financeiros e informações sensíveis de clientes, oferecendo valor monetário e estratégico muito superior ao dos dados de consumidores individuais.
• Evolução do Ransomware e Extorsão: O ecossistema do ransomware amadureceu para um modelo de negócios focado em grandes empresas capazes de pagar resgates multimilionários. Zero-days confiáveis em gateways empresariais são o bilhete dourado para essas gangues.
• Espionagem Geopolítica: Agentes patrocinados por Estados-nação estão engajados em espionagem cibernética contínua para roubar segredos comerciais, obter vantagem econômica ou comprometer contratados do governo. O software empresarial fornece um conduto direto para essa inteligência valiosa.
• Consolidação dos Stacks Tecnológicos: A adoção generalizada de um conjunto relativamente pequeno de grandes fornecedores empresariais (de segurança, rede, nuvem) cria alvos concentrados. Um único zero-day em um firewall empresarial popular pode potencialmente conceder acesso a milhares de organizações em todo o mundo.

Recomendações para a Comunidade de Cibersegurança

Este novo cenário exige uma estratégia de defesa proativa e em camadas:

1. Ampliar a Gestão de Vulnerabilidades: As equipes de segurança devem estender suas prioridades de aplicação de patches e monitoramento além do SO e software de escritório para incluir todos os appliances empresariais, ferramentas de segurança e bibliotecas de terceiros. Presuma que o próprio software de segurança pode ser comprometido.
2. Adotar Confiança Zero (Zero Trust): O princípio de "nunca confiar, sempre verificar" é crítico. Segmentem as redes, apliquem controles de acesso rigorosos e implementem autenticação contínua para limitar o movimento lateral mesmo que um dispositivo de perímetro seja violado.
3. Escrutinar a Cadeia de Suprimentos: As organizações devem exigir maior transparência dos fornecedores sobre suas práticas de desenvolvimento seguro e gestão de vulnerabilidades. Realizem avaliações de risco de terceiros em fornecedores tecnológicos-chave.
4. Detecção e Resposta Aprimoradas: Invistam em análise comportamental e capacidades de busca por ameaças (threat hunting) para identificar atividade anômala que possa indicar um exploit zero-day em progresso, pois as defesas baseadas em assinaturas serão ineficazes.

O relatório do Google, aliado ao exploit real da Qualcomm, é um alerta. A era de presumir que o software de nível empresarial é inerentemente mais seguro acabou. Os agentes de ameaça estão onde está o valor, e estão demonstrando capacidade sem precedentes em alcançá-lo. A defesa deve agora evoluir com igual velocidade e sofisticação, fortalecendo não apenas os endpoints, mas cada elo da cadeia tecnológica empresarial.