Alerta de segurança: Progress apaga os Storage Zone Controllers por uma ameaça externa credível

O Progress Software ordenou aos seus clientes do ShareFile que apaguem os servidores Windows que executam seus Storage Zone Controllers (SZC), uma instrução que a empresa justifica por uma "ameaça externa credível". Embora a medida tenha sido tomada por precaução e o Progress afirma não ter indícios de acesso não autorizado a contas ou dados, a decisão de desligar totalmente estes servidores, em vez de aplicar apenas adesivos, revela a gravidade potencial do incidente e deixa questões-chave sem resposta: que tipo de ameaça é, quem está por trás e se houve intrusão.

O SZC é um componente on-premise que permite manter os arquivos no armazenamento próprio da organização e usar a nuvem do ShareFile para compartilhar e gerenciar esses dados. Essa arquitetura é útil, mas converte o controlador em um objetivo atrativo: normalmente fica na borda da rede e é acessível da Internet, o que aumenta sua exposição a exploits, web shells e tráfego de comando e controle. Por isso seguir o comando de apagar os controladores e mantê-los fora da linha até que o fornecedor o autorize É a primeira e mais prudente recomendação.

De uma perspectiva de segurança operacional, tente qualquer controlador alcançável da Internet como um incidente potencial. Preserve os logs e active o processo de resposta a incidentes: capture registros de IIS/HTTP, de eventos do Windows, do ShareFile/Storage Zone e dos dispositivos de rede; faça imagens forenses se tiver recursos; e documente cada ação para manter a cadeia de custódia. Não reinicie nem mude credenciais de forma apressada: se o sistema estiver comprometido, certas ações (como iniciar serviços ou desmontar evidências) podem apagar indícios ou ativar cargas maliciosas.

Além de seguir a instrução do Progress, confirme a versão do controlador: os ramos 5.x devem estar na 5.12.4 ou posteriores e, se for caso disso, numa release 6.x, porque essas versões fecham vulnerabilidades adesivos anteriormente. No entanto, não interprete a versão como um salvoconduto; O Progress ainda não disse que as atualizações conhecidas eliminam a ameaça atual, pelo que a simples atualização não deve ser motivo para voltar a colocar o servidor na Internet até receber aviso explícito.

Procure indicadores concretos de compromisso em servidores afetados: arquivos .aspx desconhecidos nas pastas web e rotas de armazenamento, artefatos que possam ser web shells, processos suspeitos, conexões salientes a IPs ou domínios não habituais e mudanças em contas de serviço ou tarefas agendadas. Use ferramentas EDR/AV para identificar comportamentos anormais e correlacione com registros de rede. Um servidor que "parece limpo" não garante ausência de intrusão: muitas ameaças modernas usam persistência difícil de detectar sem uma análise profunda.

Não é a primeira vez que esta tecnologia aparece em incidentes graves: em 2023, uma vulnerabilidade no Storage Zone Controller (CVE-2023-24489) e a CISA classificou-a como explorada na natureza; em paralelo, o Progress herdou o histórico do ecossistema de transferência de arquivos após a crise de MOVEit em 2023, que afetou milhares de organizações. Esse contexto sublinha a necessidade de procedimentos robustos: segmentação de rede, controle estrito de acesso remoto, atualização contínua e planos de recuperação testados. As lições anteriores demonstram que os atacantes procuram vetores semelhantes e que a coordenação com o fornecedor e as autoridades é crítica para atenuar o impacto.

Acções práticas imediatas: mantenha o SZC offline até que o Progress indique o contrário; contacte a sua equipe de suporte do Progress e registre o incidente; preserve telemetria e evidências; execute uma análise forense se suspeitar de compromisso; e prepare comunicação interna e, se for caso disso, externa para clientes e reguladores de acordo com suas obrigações legais. Considere também notificar a sua CERT nacional ou organismos como a CISA para obter orientação e partilha de IOC se os tiver. Recursos oficiais e medidas históricas podem ser consultados nos sites do provedor e da cibersegurança, por exemplo em Progress Software e na página da Agência de Segurança de Infra-estruturas e Cibersegurança dos EUA. EUA. CISA, e para cobertura jornalística técnica em The Hacker News.

No médio prazo, as organizações devem rever a sua exposição de controladores ao exterior, aplicar segmentação estrita, reforçar monitorização e aplicar princípios de mínimo privilégio. Também é prudente integrar exercícios de resposta a incidentes que simulem fechamentos e restaurações controladas, e verificar que os respaldos sejam resilientes e não estejam acessíveis a partir do ambiente comprometido. Até que a natureza da ameaça e a confirmação da limpeza, da precaução e da evidência forense devem guiar todas as decisões.