Amazon descobre ataques explorando falhas zero-day em software da Cisco e Citrix

Amazon descobre ataques explorando falhas zero-day em software da Cisco e Citrix – Canaltech

Nesta quarta-feira (12), a equipe de inteligência da Amazon revelou a descoberta de ataques hackers a vulnerabilidades zero-day no Mecanismo de Identidade da Cisco (ISEO, de Identity Service Engine) e no NetScaler ADC da Citrix, iniciativa desenhada para levar malwares customizados à máquina dos usuários.

Segundo o Diretor de Segurança da Informação (CISO) da Segurança Integrada da Amazon, CJ Moses, a descoberta mostra a tendência de hackers focarem na infraestrutura crítica de identidade e controle de acesso às redes. A atividade maliciosa foi identificada pela rede honeypot da empresa, Madpot.

Exploração de softwares Cisco e Citrix

As falhas exploradas pelos hackers foram as seguintes:

–
Entre no Canal do WhatsApp do Canaltech e fique por dentro das últimas notícias sobre tecnologia, lançamentos, dicas e tutoriais incríveis.
–

CVE-2025-5777, ou Citrix Bleed 2 (Score CVSS 9,3): uma vulnerabilidade relacionada à validação de inputs insuficiente no NetScaler ADC da Citrix e no Gateway, explorada para burlar autenticação e consertada pela Citrix em junho;
CVE-2025-20337 (Score CVSS 10,0): uma vulnerabilidade na ISE e ISE-PIC da Cisco que permitia execução remota de códigos sem autenticação, chegando ao root do sistema operacional e corrigida pela Cisco em julho.

A exploração das falhas na Cisco e Citrix mostra o conhecimento específico dos hackers e seu foco em ferramentas específicas das empresas (Imagem: Divulgação/Cisco)

A Amazon identificou o uso ativo das falhas por agentes maliciosos, incluindo exploração da CVE-2025-5777 como zero-day. Isso levou à entrega de um web shell customizado, disfarçado como um componente legítimo da ISE Cisco chamado IdentityAuditAction. Não era um malware genérico, segundo Moses, mas sim um backdoor desenvolvido especificamente para os ambientes da empresa.

O web shell em questão consegue operar diretamente na memória e usa reflexão Java para se injetar em threads correntes. Ele também se registra como ouvinte para monitorar todos os requests HTTP no servidor Tomcat e implementa encriptação DES com codificação não-padrão em Base64 para fugir da detecção.

A característica “sob medida” da invasão mostra como os hackers possuem conhecimentos profundos dos aplicativos Java, funcionamento interno do Tomcat e da ISE da Cisco. Segundo Moses, o caso demonstra a importância de implementar estratégias de defesa profundas e capacidades robustas de detecção de padrões de comportamento suspeitos nos sistemas.