Uma chave exposta transforma um LMS em vetor de ataque: CVE-2026-5426 desata Cobalt Strike em KnowledgeDeliver

Uma falha de segurança de alta severidade que já foi adesivo na Digital Knowledge KnowledgeDeliver - um sistema de gestão de aprendizagem (LMS) com ampla presença no Japão - foi explorado como zero-day para instalar o web shell conhecido como Godzilla e, daí, colocar Cobalt Strike Beacon nas máquinas das vítimas. A vulnerabilidade, registrada como CVE‐2026-5426 Com um CVSS de 7.5, aproveitou-se pela reutilização de segredos compartilhados: os desdobramentos do LMS usavam um arquivo web.config padronizado do fornecedor contendo valores máquinaKey O que permitiu aos atacantes criar cargas de ViewState maliciosas e provocar a deserialização remota sem autenticação.

O vetor técnico é clássico mas perigoso: ASP.NET usa a chave de máquina para assinar e cifrar dados como o __VIEWSTATE, e se esse segredo é conhecido, um atacante pode forjar um ViewState que, ao ser deserializado pelo servidor, executa código arbitrário. A Microsoft já documentou em 2025 o uso malicioso de chaves machineKey filtradas, e a cadeia de abuso foi repetida em outros produtos (por exemplo, Sitecore XM, Gladinet CentreStack e TrioFox), o que sublinha que o problema reside tanto em falhas individuais como em padrões de implantação inseguros.

Na campanha observada pelo Google Mandiant e pelo Grupo de Inteligência de Ameaças do Google (GTIG) o atacante não só obteve execução remota: deixou um web shell que permitia executar comandos, mudou as permissões do sistema de ficheiros (comendo acesso completo a "Everyone" no diretório da aplicação) e alterou um programa JavaScript para mostrar um alerta falso que induzia os usuários a baixar um "plugin de autenticação" malicioso. Esse instalador baixado finalmente continha Cobalt Strike Beacon; a análise mostrou que a carga útil estava cifrada com uma chave que incluía o nome da organização, sugerindo ataques direcionados e preparados especificamente para cada vítima.

As implicações são claras e preocupantes: uma única chave filtrada pode comprometer múltiplas instâncias de um mesmo produto, especialmente quando os fornecedores distribuem configurações padrão com segredos embebidos. Isso converte os templates e arquivos de configuração em uma superfície de ataque de alto impacto, e coloca riscos de escalada desde um acesso web inicial até lateralidade e persistência na rede da organização.

Do ponto de vista operacional, as medidas imediatas e de longo prazo são complementares. Em quente, qualquer instalação anterior a 24 de fevereiro de 2026 deve ser atualizada para a versão alterada de KnowledgeDeliver; além disso, o servidor Web e os repositórios de arquivos públicos devem ser inspeccionados por sinais de compromisso: arquivos web shell (por exemplo, aspx/php com código ofuscado), alterações recentes em JavaScript que injetem cargas externas, alterações de permissões ao nível de sistema em diretórios web e tráfego saliente para domínios suspeitos. Na fase de contenção é recomendável isolar instâncias comprometidas, capturar imagens forenses antes de limpar, rotar todas as credenciais expostas e bloquear na rede os domínios e endereços IP associados à campanha.

Para reduzir a probabilidade de reexposição, as organizações devem eliminar qualquer machineKey hard-coded e garantir que as chaves sejam única por instalação. As boas práticas incluem gerar as chaves no host durante a implantação (ou usar um serviço de gestão de segredos como o Azure Key Vault ou HashiCorp Vault), activar a proteção adequada de ViewState (MAC e encriptação de acordo com a configuração de ASP.NET), e aplicar controlos de integridade sobre arquivos web e recursos estáticos. Também é crucial implementar monitorização que detecte cadeias de exploração típicas (petições com __VIEWSTATE anómalas, padrões de beaconing de Cobalt Strike) e reforçar a detecção de comportamentos pós-explotação.

Em termos de detecção, convém rever logs web e proxies por pedidos de HTTP que contenham valores de __VIEWSTATE invulgarmente longos ou codificados fora de padrão, procurar tráfego de saída correspondente a padrões de Cobalt Strike Beacon e auditar o sistema de ficheiros do servidor web para detectar alterações de permissões e ficheiros alterados em datas de compromisso. A comunidade e a documentação técnica sobre deserialização insegura e Cobalt Strike oferecem indicadores e técnicas de detecção que podem ser úteis; por exemplo, a explicação de riscos de deserialização em OWASP e a ficha técnica de Cobalt Strike no MITRE ATT&CK são recursos práticos para equipamentos de segurança: OWASP sobre deserialização insegura e MITRE ATT&CK – Cobalt Strike (Beacon). Para entender o funcionamento do ViewState em ASP.NET, você pode consultar a documentação histórica da Microsoft sobre esse mecanismo: Documentação da Microsoft sobre ViewState.

Além do adesivo pontual, este incidente é uma chamada de atenção a fornecedores e clientes: os fabricantes não devem distribuir segredos por defeito em seus pacotes e as organizações que implementam software devem tratar modelos e artefatos do fornecedor como código que requer revisão e endurecimento. A gestão de segredos, a rotação periódica e o princípio de menor privilégio Nas licenças de arquivos e serviços são contramedidas essenciais para evitar que uma mesma configuração fracae transforme centenas de instalações em vítimas encadeadas de uma única filtração.