Múltiplos grupos de hackers chineses aderem à mesma cadeia de zero-day

Um novo relatório da empresa de segurança Proofpoint identificou múltiplos grupos de ameaças alinhados à China explorando independentemente a mesma cadeia de vulnerabilidades zero-day para invadir organizações. De acordo com a Proofpoint, a exploração começou rapidamente após a descoberta das falhas, e a empresa afirma que a atividade está em andamento e deve se ampliar à medida que mais grupos adotarem a técnica.

O que torna esta campanha notável não é apenas a velocidade da exploração. É que vários clusters de hacking distintos, alinhados ao Estado, parecem ter convergido para o mesmo conjunto de vulnerabilidades na mesma época. Esse tipo de adoção paralela sugere que a cadeia de exploits está sendo compartilhada dentro do ecossistema chinês de espionagem cibernética ou é simples o suficiente para que múltiplos grupos a tenham descoberto independentemente. De qualquer forma, aponta para um conjunto de atores bem financiados e coordenados, movendo-se rapidamente assim que uma cadeia de vulnerabilidades utilizável se torna disponível.

O que uma 'cadeia de zero-day' realmente significa

Para leitores que não estão imersos no jargão de segurança, um zero-day é uma vulnerabilidade de software desconhecida pelo fornecedor no momento em que é descoberta e explorada, o que significa que ainda não há correção disponível. Uma "cadeia" de zero-days refere-se a atacantes que vinculam múltiplas falhas entre si, usando uma vulnerabilidade para obter acesso inicial, outra para escalar privilégios, e assim por diante, até alcançarem controle total de um sistema-alvo.

Isso importa para usuários comuns porque essas cadeias frequentemente começam com algo tão comum quanto um navegador, um cliente de e-mail ou um software empresarial amplamente utilizado. Mesmo que você nunca tenha ouvido falar do fornecedor ou produto específico envolvido, os componentes de software subjacentes frequentemente aparecem tanto em ferramentas de consumo quanto empresariais. Quando uma cadeia de zero-day como essa está sendo ativamente explorada, o relógio começa a contar para os fornecedores lançarem correções, e para as organizações as aplicarem antes que mais atacantes percebam.

As descobertas da Proofpoint se encaixam em um padrão mais amplo e cada vez mais visível de operações cibernéticas chinesas vinculadas ao Estado. Pesquisadores documentaram separadamente hackers chineses dobrando seu volume de ataques usando DeepSeek AI para acelerar o reconhecimento e o desenvolvimento de malware, enquanto outras reportagens sobre campanhas patrocinadas pelo Estado chinês visando jornalistas e ativistas mostram que esses grupos não se limitam a alvos corporativos ou governamentais. Equipes investigativas como a Intrusion Truth até trabalharam para desmascarar novos contratados cibernéticos chineses que apoiam esse ecossistema nos bastidores, ilustrando quanta infraestrutura e mão de obra estão por trás de campanhas como a que a Proofpoint acabou de sinalizar.

Quem está sendo visado, e por que isso está se expandindo

O relatório da Proofpoint descreve os alvos como "várias organizações", sem restringir a campanha a um único setor ou região. Essa amplitude é consistente com a forma como grupos de espionagem alinhados à China normalmente operam: eles tendem a priorizar acesso em vez de precisão, perseguindo qualquer organização que detenha inteligência valiosa, propriedade intelectual ou dados estratégicos, seja uma agência governamental, uma instituição de pesquisa ou uma empresa privada com relações úteis na cadeia de suprimentos.

O fato de a Proofpoint esperar que a atividade se amplie é o detalhe operacional mais importante aqui. Cadeias de zero-day raramente permanecem exclusivas por muito tempo. Assim que um grupo demonstra que uma cadeia de exploits funciona, outros tendem a fazer engenharia reversa ou redescobrir independentemente a mesma técnica, especialmente quando as vulnerabilidades subjacentes permanecem sem correção. Isso provavelmente é parte da razão pela qual múltiplos grupos parecem estar usando-a simultaneamente, em vez de um único ator trabalhando sozinho.

O que isso significa para você

A maioria dos leitores deste artigo não está executando diretamente os sistemas empresariais que esses grupos visam, mas os efeitos indiretos ainda importam. Cadeias de zero-day exploradas contra organizações frequentemente dependem das mesmas pilhas de software, navegadores, sistemas operacionais e ferramentas de produtividade que também aparecem em dispositivos pessoais. Quando os fornecedores corrigem as falhas envolvidas em uma cadeia como essa, essas atualizações geralmente se aplicam de forma ampla, não apenas a implantações empresariais.

Se você trabalha para uma organização, especialmente uma no governo, pesquisa, tecnologia ou qualquer setor que lide com dados sensíveis, este é um bom momento para confirmar que sua equipe de TI ou segurança está acompanhando de perto os avisos dos fornecedores e aplicando correções assim que forem lançadas. Indivíduos devem tratar isso como um lembrete para manter o software atualizado automaticamente sempre que possível, já que as janelas de exploração de zero-day se fecham mais rapidamente para sistemas que são corrigidos prontamente.

Usar uma VPN não impedirá uma cadeia de exploits zero-day por si só, já que esses ataques normalmente visam vulnerabilidades de software e não o tráfego de rede. Mas manter uma boa higiene geral de segurança, manter o software atualizado, usar autenticação multifator e limitar a exposição desnecessária de sistemas internos à internet continua sendo a defesa mais eficaz contra a exploração oportunista assim que uma técnica como essa se torna pública.

Ficando à frente de uma campanha em expansão

Esse tipo de exploração rápida e multi-grupo é um sinal de quão maduras e bem coordenadas se tornaram as operações de hacking alinhadas ao Estado. À medida que a Proofpoint continua rastreando a campanha, espere que mais detalhes surjam sobre as vulnerabilidades específicas envolvidas e quais fornecedores são afetados. Até que as correções sejam confirmadas e amplamente aplicadas, as organizações devem presumir que quaisquer sistemas relevantes estão expostos e agir de acordo, já que a Proofpoint deixou claro que essa atividade está longe de terminar.

Por enquanto, as conclusões práticas são diretas: corrija prontamente, monitore os avisos de segurança dos fornecedores e trate relatos de exploração ativa de zero-day como um sinal para revisar sua própria exposição, em vez de um motivo para pânico. Campanhas movidas por espionagem como esta se movem rapidamente, mas organizações e indivíduos que se mantêm atualizados sobre as atualizações reduzem significativamente seu risco.