Diretórios abertos revelam bastidores de operações de cibercriminosos
Falhas básicas de configuração estão permitindo que grupos criminosos exponham, na própria infraestrutura usada para ataques, informações sobre ferramentas, vítimas, negociações e procedimentos operacionais. Pesquisas recentes de empresas de segurança cibernética mostram que diretórios acessíveis sem autenticação podem funcionar como verdadeiros mapas de campanhas de ransomware, ataques DDoS e infecções em dispositivos conectados.
Em vez de permanecerem ocultos, arquivos armazenados em servidores de atacantes acabam disponíveis para qualquer pessoa na internet. Em alguns casos, basta acessar uma porta específica para visualizar códigos maliciosos, registros de atividade, scripts de automação e documentos relacionados às ações criminosas.
Um dos casos foi identificado pela CloudSek em um diretório associado a um parceiro do grupo de ransomware Aurora. A pasta continha dados relacionados às ferramentas utilizadas, possíveis vítimas e negociações conduzidas pelos criminosos. O acesso estava liberado pela porta 8888, sem qualquer mecanismo de autenticação.
A análise indicou que o diretório correspondia ao ambiente Linux utilizado diretamente pelo invasor. Isso permitiu aos pesquisadores observar arquivos que, em condições normais, deveriam estar protegidos e restritos ao operador da campanha. Entre os dados encontrados havia indícios de que o parceiro do Aurora havia realizado um ataque contra a empresa química belga Christeyns.
O Aurora atua no modelo Ransomware-as-a-Service, conhecido pela sigla RaaS. Nesse formato, os desenvolvedores mantêm a infraestrutura e o código do ransomware, enquanto afiliados ficam responsáveis por invadir organizações, movimentar-se pelas redes e negociar o pagamento. Depois, os lucros são divididos entre as partes.
A exposição do diretório não significa necessariamente que todo o ataque tenha sido bem-sucedido. Porém, ela fornece informações valiosas para investigadores, empresas afetadas e equipes de resposta a incidentes. Arquivos deixados no servidor podem revelar nomes de ferramentas, endereços de comando e controle, horários de operação, credenciais, alvos e etapas planejadas pelos criminosos.
Outro episódio foi divulgado pela Censys. A empresa encontrou um diretório aberto em um servidor associado a ataques distribuídos de negação de serviço, os chamados DDoS. No ambiente estava armazenado o código-fonte do Moobot, uma variante da família Mirai.
O Mirai ficou conhecido por transformar dispositivos de Internet das Coisas, como roteadores, câmeras e gravadores digitais, em integrantes de botnets. Depois de infectados, esses equipamentos passam a receber comandos remotos e podem ser utilizados simultaneamente para sobrecarregar sites, servidores e redes.
A presença do código-fonte em um diretório público ajuda a compreender como a ameaça foi modificada e quais recursos estavam disponíveis aos operadores. Também facilita a identificação de padrões técnicos, permitindo que empresas criem regras de detecção e bloqueiem indicadores relacionados à campanha.
A Hunt.io encontrou ainda outro diretório exposto, pertencente a um atacante que havia direcionado ações contra um instituto de pesquisa nuclear e uma empresa de construção naval nas Filipinas. O conteúdo ajudou a reconstruir parte da atividade e a relacionar os alvos a uma mesma operação.
Na semana anterior, a própria empresa havia usado um diretório aberto como base para analisar um ataque envolvendo aproximadamente 14 mil câmeras IP da Dahua. O caso demonstra como dispositivos com senhas fracas, firmware desatualizado ou serviços expostos podem ser incorporados a redes criminosas em larga escala.
Por que diretórios abertos são tão perigosos?
Diretórios públicos não representam um problema apenas quando armazenam malware. Eles também podem expor arquivos de configuração, bancos de dados, relatórios de execução, chaves de acesso e cópias de segurança. Mesmo informações aparentemente inofensivas podem ser combinadas para revelar a estrutura completa de uma operação.
O risco aumenta quando os servidores são configurados rapidamente para apoiar uma campanha. Criminosos podem abrir serviços temporários, instalar painéis de administração ou transferir ferramentas sem aplicar controles mínimos. Quando o trabalho termina, esses ambientes continuam ativos e acabam indexados por mecanismos de busca e plataformas de monitoramento da internet.
A exposição também pode facilitar a ação de outros criminosos. Um grupo concorrente pode copiar códigos, roubar credenciais, sequestrar a infraestrutura ou identificar novos alvos. Assim, o erro operacional não prejudica apenas as vítimas, mas também ameaça os próprios responsáveis pelo ataque.
Impactos para as empresas atingidas
No caso da Christeyns, a companhia informou que as contas afetadas foram bloqueadas e que as senhas correspondentes foram alteradas. A empresa declarou não ter encontrado evidências de roubo de dados, instalação de ransomware ou interrupção das operações. Até o momento, não foram divulgados detalhes adicionais sobre a natureza do incidente.
Ainda assim, a ausência de sinais de criptografia ou exfiltração não elimina a necessidade de investigação. Um invasor pode permanecer na rede sem executar imediatamente a etapa final do ataque, coletando informações, elevando privilégios ou preparando uma invasão posterior.
A resposta adequada exige revisão de logs, análise de endpoints, verificação de contas privilegiadas e redefinição de credenciais potencialmente comprometidas. Também é importante examinar conexões remotas, regras de firewall e alterações recentes em servidores e dispositivos conectados.
Como reduzir o risco de exposição
Empresas devem evitar a publicação acidental de diretórios e arquivos administrativos. Servidores de desenvolvimento, ambientes de teste e painéis internos precisam estar protegidos por autenticação forte, controle de acesso e segmentação de rede.
A simples utilização de uma porta diferente da padrão não oferece proteção real. Serviços expostos devem exigir autenticação, aplicar criptografia e ser acessíveis apenas a endereços autorizados sempre que possível. Também é fundamental remover arquivos temporários e credenciais armazenadas em texto simples.
Auditorias externas e varreduras contínuas ajudam a encontrar diretórios indexados, buckets públicos, painéis sem proteção e dispositivos conectados diretamente à internet. Essas verificações devem fazer parte da rotina de segurança, e não ocorrer apenas depois de um incidente.
Equipes de tecnologia também precisam adotar o princípio do menor privilégio. Cada usuário, aplicação ou serviço deve ter somente as permissões necessárias para executar suas funções. Dessa forma, mesmo que um componente seja comprometido, o invasor terá mais dificuldade para alcançar outros sistemas.
O monitoramento de ameaças complementa essas medidas ao identificar códigos, endereços de infraestrutura e padrões associados a grupos criminosos. Quando uma organização descobre que seus dados ou domínios aparecem em uma operação, pode bloquear acessos suspeitos e iniciar uma investigação antes que o ataque evolua.
Os casos recentes mostram que a segurança dos cibercriminosos também depende de disciplina operacional. Ao deixar diretórios abertos, eles podem entregar evidências importantes sobre campanhas que, de outra forma, exigiriam longas investigações. Para as empresas, o alerta é direto: qualquer serviço conectado à internet deve ser tratado como potencial porta de entrada e submetido a controles rigorosos.