Barracuda alerta para abuso de software legítimo

A exploração de software legítimo e serviços de acesso remoto continua a representar um risco significativo para as empresas. O “SOC Threat Radar” de agosto de 2026, da Barracuda, identifica atividade dirigida a implementações vulneráveis do GlobalProtect, ataques de credential stuffing contra VPN e a utilização maliciosa de ferramentas de administração remota.

Uma das ameaças observadas pelo SOC da Barracuda Managed XDR envolve a CVE-2026-0257, uma vulnerabilidade nos serviços GlobalProtect da Palo Alto Networks. A exploração bem-sucedida pode permitir contornar os mecanismos normais de autenticação, estabelecer uma sessão VPN como um utilizador legítimo e aceder a recursos internos.

A equipa detetou duas vagas de scanning provenientes de infraestruturas associadas a atacantes e dirigidas a serviços GlobalProtect publicamente expostos na Bélgica. A vulnerabilidade tem sido explorada em ambiente real desde maio, embora apenas determinadas configurações estejam em risco. Nas ocorrências analisadas pela Barracuda, todas as tentativas foram bloqueadas e não houve exploração bem-sucedida.

Outro incidente revelou tentativas de acesso a uma VPN Fortinet através de credential stuffing, recorrendo a nomes de utilizador e passwords anteriormente comprometidos. A investigação identificou regras de firewall demasiado permissivas, que deixavam acessíveis a partir da Internet serviços como SSL VPN, Remote Desktop Protocol (RDP) e Telnet.

Segundo a Barracuda, estes serviços começaram rapidamente a receber atividade proveniente de vários grupos de scanning sem relação entre si, demonstrando como configurações incorretas de firewall podem aumentar significativamente a superfície de ataque. A empresa recomenda eliminar protocolos antigos como Telnet, restringir os serviços expostos e utilizar autenticação multifator (MFA).

A utilização abusiva de ferramentas legítimas de acesso remoto constitui outra das ameaças destacadas. Num dos incidentes, os atacantes recorreram ao ScreenConnect, da ConnectWise, para estabelecer acesso persistente a um endpoint.

A investigação encontrou vários clientes ScreenConnect não autorizados, configurados para acesso sem supervisão e ligados a domínios externos suspeitos através de portas de rede pouco habituais. O software tinha ainda sido colocado no diretório Windows System32 juntamente com scripts de comandos, um comportamento que a Barracuda considera incompatível com uma implementação empresarial normal.

A técnica permite aos atacantes misturarem a sua atividade com ferramentas legítimas utilizadas pelas organizações, dificultando a deteção e facilitando a manutenção de acesso prolongado aos sistemas comprometidos. Neste caso, a equipa de SOC isolou o endpoint afetado enquanto investigava e eliminava os mecanismos de persistência.

Face às ameaças observadas, a Barracuda recomenda às organizações manter um inventário das ferramentas de administração remota autorizadas, aplicar rapidamente patches, rever regularmente as regras de firewall e reduzir a exposição de VPN e outros serviços à Internet. A monitorização de autenticações suspeitas, ligações anómalas e instalações de software, juntamente com a adoção generalizada de MFA, é igualmente apontada como essencial para reduzir o risco.