← Voltar ao blog

Security Briefing, 25 de abril de 2026: persistência do Firestarter, exposição do Zimbra e extorsão por vishing da BlackFile

O padrão de hoje é feio, mas claro: appliances de borda, caixas de e-mail e fluxos de confiança do helpdesk estão sendo abusados de formas que sobrevivem a uma remediação superficial.

---

---

1. Firestarter transforma o patching de firewalls Cisco em uma falsa linha de chegada

A CISA e o NCSC do Reino Unido alertam que o backdoor Firestarter pode persistir em dispositivos Cisco Firepower e Secure Firewall mesmo após reinicializações, atualizações de firmware e patches de segurança. O malware, ligado a um ator de espionagem rastreado pela Cisco, se prende ao processo LINA, se reinstala quando é encerrado e pode ser acionado por tráfego WebVPN especialmente preparado. A orientação da Cisco é direta: versões corrigidas importam, mas o caminho de limpeza recomendado é o reimaging do equipamento.

• Se você apenas aplicou patch e seguiu em frente, isso pode não bastar.
• Execute agora as verificações de comprometimento da Cisco, especialmente show kernel process | include lina_cs.
• Trate appliances de firewall expostos à internet como caso de resposta a incidente, não como manutenção rotineira.

---

2. Mais de 10 mil servidores Zimbra expostos continuam dentro do raio de impacto

A Shadowserver afirma que mais de 10.500 servidores Zimbra Collaboration Suite expostos na internet continuam vulneráveis ao CVE-2025-48700, uma falha XSS que a CISA já listou como explorada ativamente. O problema afeta várias linhas do ZCS e pode permitir que atacantes não autenticados executem JavaScript dentro da sessão de webmail da vítima quando um e-mail malicioso é aberto na Classic UI. Isso importa porque o Zimbra tem longo histórico como trampolim para roubo de e-mails e campanhas ligadas a Estados.

• Corrija cada nó Zimbra exposto, não apenas os que parecem importantes.
• Assuma que acesso à caixa postal e roubo de sessão são consequências realistas se usuários abriram mensagens preparadas.
• Revise logs, e-mails suspeitos e atividade de contas em vez de tratar isso apenas como tarefa de patch.

---

3. A BlackFile prova que chamadas falsas de helpdesk ainda quebram empresas modernas

A BlackFile está sendo associada a uma onda de ataques de extorsão guiados por vishing contra varejo e hotelaria. Os atacantes se passam por suporte de TI, roubam credenciais e códigos de uso único por meio de páginas falsas de login e depois registram seus próprios dispositivos para contornar a MFA. A partir daí, saqueiam sistemas como Salesforce e SharePoint por APIs padrão, roubam arquivos sensíveis e aumentam a pressão com pedidos de resgate e até swatting.

• Treine a equipe para entender que uma voz convincente de helpdesk não prova legitimidade.
• Exija verificação de identidade mais forte antes de reset de senha ou registro de dispositivo MFA.
• Monitore exportações anômalas de SharePoint e Salesforce mesmo quando parecerem sessões válidas.

---

O que as equipes de segurança devem fazer hoje

1. Executar verificações de comprometimento em firewalls Cisco e planejar reimaging onde houver indicadores.
2. Concluir o patching do Zimbra e caçar abuso de sessão acionado por e-mail malicioso.
3. Endurecer verificações de identidade do helpdesk, especialmente para suporte remoto e resets de MFA.
4. Revisar atividade de exportação SaaS e eventos de registro de dispositivos em busca de padrões estilo BlackFile.

---

---

Conclusão: O padrão de hoje é feio, mas claro: appliances de borda, caixas de e-mail e fluxos de confiança do helpdesk estão sendo abusados de formas que sobrevivem a uma remediação superficial.