A porta aberta por OpenSSH e Tailscale a intrusão que persiste quando falha o C2

Um intruso francófono identificado pelos pesquisadores como "Poisson" comprometeu uma pequena empresa automotiva em França com técnicas que, na superfície, parecem rotineiras: keylogger, roubo de credenciais bancárias e acesso remoto. O que torna este caso numa lição para operadores e defensores não é tanto a ferramenta usada, mas a decisão do atacante de criar uma porta de retorno que não dependia do seu servidor de comando e controle (C2). A análise detalhada publicou a Cato Networks e oferece uma reprodução quase minuto a minuto da operação do teclado do próprio atacante: um registro ideal para aqueles que buscam entender como se constroem e mantêm acessos persistentes em ambientes de baixo orçamento. Relatório de Cato CTRL documenta como uma série de comandos aparentemente anodinos cristalizaram em acesso contínuo, mesmo quando a infraestrutura de Havoc (o C2) ficou fora de serviço.

A manobra crítica foi a instalação do OpenSSH e da Tailscale em um computador Windows, a configuração de autenticação por chave e um túnel reverso SSH. Na prática, isso criou uma malha cifrada e privada do atacante para a máquina afetada, evitou expor portos e, sobretudo, fez com que a porta permanecesse aberta mesmo quando o C2 tradicional falhou. Desligar o servidor de comando e controlo não bastou; a persistência foi transferida para um canal legítimo e cifrado. Tailscale é um serviço legítimo e amplamente usado para redes privadas na Internet, o que ressalta o problema: ferramentas legítimas podem ser exploradas para continuidade operacional maliciosa. Mais informações sobre Tailscale e seu modelo encontra-se em seu site oficial: https://tailscale.com/.

O caso também mostra o uso deliberado de técnicas de baixo rastro: a carga útil de Havoc foi executada quase totalmente em memória mediante um loader em .NET iniciado por PowerShell, e as credenciais foram coletadas com um keylogger em Python que simplesmente escrevia localmente e era recuperado "a mão" pelo operador. A ausência de exfiltração direta a um servidor público e a preferência por canais legítimos reduzem os sinais tradicionais que disparam detecções baseadas em IoC (indicadores estáticos). Além disso, o operador aproveitou ferramentas assinadas e clientes remotos legítimos como RustDesk, o que faz com que a detecção baseada apenas em hashes ou nomes de arquivo saia facilmente.

Para defensores, a lição operacional é clara: tratar um C2 derrubado como fim da intrusão é um perigoso espejismo. A resposta deve ser rápida de "apagar a infra-estrutura externa" para "buscar portas internas alternativas". Isso implica auditar serviços instalados, revisar chaves SSH e redes privadas configuradas, e verificar tarefas programadas e persistências em memória. A Microsoft mantém documentação sobre a funcionalidade OpenSSH no Windows que pode servir de referência a equipamentos de resposta para identificar instalações legítimas versus suspeitas: https://learn.microsoft.com/.

Em termos práticos e acionáveis, convém prestar atenção a vários sinais que o atacante deixou de forma repetida: a presença de um serviço OpenSSH em workstations (rara vez legítimo), o processo tailscale.exe em máquinas que não deveriam correr VPNs, túneis ssh - R apontando para hosts externos, wscript.exe executando .vbs a partir de pastas temporárias de usuário, e tarefas programadas em "highest privileges" que lançam intérpretes de script. Também é relevante monitorar mudanças na configuração de energia com powercfg, porque manter máquinas despertas foi parte de sua operacional de coleta. Estes são sinais de comportamento mais úteis do que um hash concreto.

Do ponto de vista de mitigação imediata, um primeiro passo é isolar e preservar evidências: desligar da rede as máquinas suspeitas, virar memória para análise forense e coletar configurações de serviços instalados e tarefas programadas. A seguir, há que rodar e revogar chaves e credenciais potencialmente comprometidas: no caso de Tailscale, a consola de administração permite eliminar dispositivos e rotar chaves para cortar essa malha privada. Para além de revogar, é crítico procurar artefatos residuais: chaves SSH agregadas, arquivos de configuração de Tailscale, binários instalados, e qualquer programa ou tarefa que relance componentes ao reinício.

Numa perspectiva de endurecimento, as organizações devem reduzir a capacidade de instalar serviços por usuários padrão, aplicar políticas de controle de aplicativos (allowlisting) e limitar o uso de clientes remotos para software aprovado com gestão central. A elevação de privilégios via Start-Process -Verb RunAs expõe que a UAC pode ser um vetor social: se um usuário aceita elevações repetidas, o atacante consegue privilégios. Implementar políticas de aprovação de elevações, controles de gerenciamento remoto e segregação de contas (administrador de domínio, administrador local, conta de serviço) reduz a superfície de abuso.

Não menos importante é a telemetria e a detecção baseada em comportamento: as soluções EDR/EDR-like devem alertar não só por 'malware conhecido', mas por ações atípicas como a criação de servidores SSH em estações de trabalho, a execução de processos assinados desde rotas de usuário, a criação de túneis reversos e o acesso a pastas de credenciais. Como o atacante usou serviços gratuitos (DuckDNS, Backblaze B2, um VPS barato), convém bloquear e monitorar domínios dinâmicos e buckets públicos como parte da caça de artefatos externos. A tática de usar fornecedores de confiança não deveria isentar uma equipe de detecção de analisá-los quando aparecem em contexto suspeito.

Para pequenas empresas, a moral é dupla e dura: por um lado, o dano real não é sempre sofisticado; roubar credenciais bancárias e de e-mail exige pouca técnica, mas produz impacto econômico direto. Por outro lado, a resposta não pode limitar-se a um simples "apagar o C2". A contenção efetiva exige procurar e eliminar todas as portas internas que o atacante poderia ter sido criado com ferramentas legítimas, e depois realizar uma limpeza completa e uma rotação de credenciais com auditoria de acessos e mudanças.

Finalmente, o relatório do Cato é um lembrete de que a segurança efetiva combina prevenção, detecção e resposta que assume que a intrusão pode sobreviver a qualquer intervenção parcial. A caixa de ferramentas do atacante incluirá sempre ferramentas legítimas e serviços criptografados; a diferença está em uma defesa que busca comportamentos anormais, responde a eles de forma integral e não confia em que um C2 offline signifique "problema resolvido". Para aprofundar o caso e aprender os indicadores concretos que os pesquisadores documentaram, o relatório completo do Cato está disponível em seu blog: https://www.catonetworks.com/blog/, e para entender melhor o que é Tailscale e como você pode gerenciar de forma segura visite https://tailscale.com/.