Exfiltração silenciosa da REDCap: como o INFINITERED e o UNC6508 usaram o Google Workspace para roubar pesquisas críticas

Um grupo ligado à China, identificado pelo Google como UNC6508, aproveitou uma porta traseira instalada em servidores REDCap expostos para permanecerem dentro de redes médicas, acadêmicas e de pesquisa militar da América do Norte por mais de um ano, roubando e-mails e dados sensíveis sem gerar o tipo de ruído que muitas vezes produzem as campanhas tradicionais. O achado mais preocupante não foi tanto o backdoor -GTIG chamou o módulo malicioso INFINITERED - mas a forma como os atacantes fizeram sair a informação: modificaram regras legítimas de cumprimento de conteúdo no Google Workspace para copiar por BCC para uma conta do Gmail controlada por eles qualquer e-mail que coincidisse com quase 150 palavras-chave.

A técnica é eficaz porque explora duas realidades da cibersegurança atual: primeiro, muitas instituições científicas e clínicas publicam e expõem ferramentas como REDCap para facilitar a pesquisa colaborativa, e segundo, as plataformas na nuvem incorporam funções de automação e cumprimento que, se caem em mãos erradas, permitem exfiltrar dados sem instalar malware adicional nem gerar tráfego anormais. REDCap permite versões legadas correndo junto à versão atual, o que facilita ataques por retrocesso a versões vulneráveis; INFINITERED aproveitou essa situação para se integrar no próprio fluxo de atualização e conservar persistência. Além da intrusão técnica, o branco da coleta —política geoestratégica, equipamento militar, pesquisa avançada e até termos epidemiológicos como "chikungunya" — demonstra que os atacantes buscavam tanto propriedade intelectual crítica quanto inteligência de estado.

As implicações são duplas: por um lado, perda de pesquisa biomédica e possível impacto em respostas sanitárias e em colaborações acadêmicas; por outro, risco de exfiltração de informação que afeta a segurança nacional e a preparação militar. Para instituições que gerem dados sensíveis, isso deve mudar a priorização de controles: não basta proteger servidores expostos, há que auditar e controlar as funções de administração na nuvem que podem transformar uma função legítima em um canal de fuga. O Google notificou as vítimas e desactivou a conta usada pelos atacantes, mas o episódio destaca que o perímetro já não é apenas a máquina afetada, mas também os serviços gerenciados associados a essa identidade administrativa.

As ações concretas que qualquer responsável técnico ou de segurança deve executar imediatamente incluem rever todas as instâncias REDCap acessíveis da Internet, remover versões antigas em vez de permitir coexistência, aplicar adesivos e reconstruir servidores comprometidos a partir de imagens limpas; a REDCap é um projeto de referência e o seu site oficial contém recursos úteis para administradores, por exemplo em projectredcap.org. Em paralelo, é imprescindível auditar as regras de conformidade e reenvio no Google Workspace ou outras suítes de correio na nuvem: procure regras que façam BCC, reenviam ou copien mensagens para endereços externos e verifique os registros de administração para saber quem e quando criou ou modificou essas regras — a documentação oficial do Google sobre regras de conteúdo pode servir como ponto de partida: Set up rules to examinar content and take action.

Do ponto de vista de detecção e pesquisa, não confie apenas na telemetria de rede. Revise logs de auditoria de administração, sessões de super-usuário e mudanças em políticas de cumprimento; procure criar regras com erros tipográficos deliberados (o relatório cita um termo mal escrito como "Patroit") e padrões de palavras-chave relacionados com colecções de inteligência. Correr pesquisas e caças buscando indicadores associados ao INFINITERED e a UNC6508, e correlacionar-as com acessos a contas de serviço e elevações de privilégio, é prioritário; o Google Threat Intelligence Group publica análise e métricas que podem ajudar a orientar esses hunts, e sua página de divulgação oferece contextos úteis: Google Threat Analysis Group.

Quanto a mitigações organizacionais e de governança, aplique multifator de autenticação resistente ao phishing em todas as contas administrativas e de alto risco, segmente ambientes de pesquisa para que uma credencial comprometida não permita o salto direto a domínios críticos, e limite as capacidades de criação de regras de cumprimento a um grupo mínimo com aprovação formal. Implemente detecção e alertas em tempo real sobre mudanças em políticas de e-mail e criação de regras que reenviem e-mails fora do domínio, e considere controles adicionais como registros imutáveis de auditoria e procedimentos de dupla aprovação para mudanças sensíveis.

Se suspeitar que foi afetado, trate a resposta como uma intrusão por lateralidade: desconecte e preserve sistemas para análise forense, mude e rote credenciais e chaves associadas, repor sessões de administrador, revogar ou reconstruir servidores REDCap comprometidos e procure evidências de movimento lateral para contas de domínio ou serviços de correio. Além disso, coordene com parceiros e autoridades competentes se houver indícios de exfiltração de dados sanitários ou informações regulamentadas. A comunidade de segurança deve entender que este caso demonstra uma tendência: as funcionalidades na nuvem pensadas para cumprimento ou conveniência podem ser o elo mais silencioso e efetivo para a exfiltração quando um ator consegue privilégios administrativos.

Em suma, proteger os ambientes de pesquisa não é apenas um adesivo de aplicativos; é controlar quem pode manipular as políticas dos serviços na nuvem e visualizar qualquer automação que possa copiar ou desviar mensagens. Auditar REDCap, aplicar políticas rigorosas de administração na nuvem, exigir MFA resistente ao phishing e estabelecer detecções específicas para mudanças em regras de e-mail são passos que reduzem o risco de uma intrusão técnica tornar-se uma fuga maciça de conhecimento científico e dados sensíveis.