O pior pesadelo de um administrador de sistemas foi confirmado: falhas Citrix e Cisco zero-day estavam sendo exploradas ativamente por hackers antes mesmo de suas correções serem conhecidas. Uma investigação recente da Amazon Threat Intelligence revelou que um agente de ameaças avançado (APT) explorou duas vulnerabilidades críticas — CVE-2025-5777, conhecida como “Citrix Bleed 2”, e CVE-2025-20337, que afeta o Cisco Identity Services Engine (ISE) — semanas antes de sua divulgação pública. O que torna essa descoberta ainda mais preocupante é que os ataques foram detectados não por clientes, mas pelo sistema de honeypots Amazon MadPot, capaz de capturar e analisar comportamentos maliciosos em tempo real.
Essas duas falhas representam uma combinação perigosa: alto impacto, exploração silenciosa e uso de ferramentas customizadas para evitar detecção. O relatório da Amazon indica que os invasores usaram um web shell personalizado, chamado IdentityAuditAction, para ganhar controle sobre sistemas vulneráveis e manter persistência sem levantar suspeitas.
Neste artigo, explicamos como as falhas funcionam, de que forma foram exploradas e por que a descoberta feita pela Amazon pode mudar a forma como a indústria encara ameaças zero-day em produtos corporativos amplamente usados.
O que é a falha “Citrix Bleed 2” (CVE-2025-5777)?
A vulnerabilidade CVE-2025-5777, apelidada de “Citrix Bleed 2”, afeta dispositivos Citrix NetScaler ADC e NetScaler Gateway, usados por milhares de empresas para balanceamento de carga e acesso remoto seguro. Essa falha é classificada como um problema de leitura de memória fora dos limites (out-of-bounds read), o que significa que um invasor pode obter informações sensíveis diretamente da memória do sistema, potencialmente expondo credenciais, tokens de sessão e dados confidenciais.
O apelido “Bleed” faz referência à similaridade com o infame Heartbleed, uma falha de 2014 que também permitia o vazamento de dados da memória. Segundo a Amazon, os ataques começaram antes do lançamento das correções em junho de 2025, o que caracteriza o uso da vulnerabilidade como um ataque zero-day Citrix. Isso indica que os invasores tinham conhecimento técnico e acesso privilegiado à arquitetura interna do NetScaler, algo típico de grupos APT.
A vulnerabilidade crítica do Cisco ISE (CVE-2025-20337)
A segunda falha, CVE-2025-20337, afeta diretamente o Cisco Identity Services Engine (ISE), uma plataforma centralizada de autenticação e controle de acesso em redes corporativas. Essa vulnerabilidade permite que um invasor não autenticado envie solicitações especialmente criadas para armazenar arquivos maliciosos, executar código arbitrário e até obter privilégios de root.
A Cisco classificou o problema com pontuação máxima de gravidade (10/10 no CVSS) e reconheceu que houve exploração ativa logo após sua divulgação em julho de 2025. Segundo o relatório da Amazon, o mesmo ator de ameaça que explorava o Citrix NetScaler também aproveitou a falha no ISE, indicando um ataque coordenado e multifásico. Essa combinação de vulnerabilidades em produtos distintos, porém amplamente usados em ambientes corporativos, amplia o potencial de comprometimento em larga escala.
A descoberta da Amazon: como o “MadPot” pegou os hackers
O papel da Amazon Threat Intelligence foi central para identificar a campanha. O Amazon MadPot é um sistema de honeypots distribuídos globalmente, projetado para simular infraestruturas reais e atrair ataques. Diferente de soluções passivas, o MadPot captura telemetria detalhada sobre tentativas de exploração, permitindo que analistas observem como invasores agem antes que as falhas sejam conhecidas publicamente.
Foi justamente em um desses honeypots que a Amazon detectou padrões de exploração simultâneos em servidores Citrix e Cisco, com cargas úteis (payloads) idênticas e comportamento coerente com um grupo APT altamente sofisticado. Essa detecção antecipada ajudou a mapear a cadeia de ataque e confirmar que o mesmo web shell era usado em ambos os vetores.
‘IdentityAuditAction’: o web shell personalizado dos invasores
Durante a análise das amostras capturadas, os pesquisadores da Amazon identificaram um web shell inédito, batizado de IdentityAuditAction. Ele foi disfarçado como um componente legítimo do Cisco ISE, o que dificultava a detecção por administradores e sistemas antivírus.
Esse web shell se destacou pela sofisticação técnica. Ele utilizava reflexão Java para injetar código diretamente no Apache Tomcat, o servidor de aplicações usado pelo ISE, além de empregar criptografia DES com codificação Base64 não padrão para ocultar comandos e respostas. O acesso remoto exigia cabeçalhos HTTP personalizados, um mecanismo que impedia sua ativação por solicitações comuns da web, mantendo o ataque sigiloso e persistente.
Em resumo, tratava-se de uma ferramenta construída sob medida para ambientes corporativos de alta segurança, reforçando a hipótese de que o grupo invasor tinha vasto conhecimento técnico e recursos substanciais.
Conclusão: um APT sofisticado, mas com alvos “indiscriminados”
O uso simultâneo das vulnerabilidades CVE-2025-5777 (Citrix Bleed 2) e CVE-2025-20337 (Cisco ISE) demonstra a capacidade e o alcance de um agente de ameaças de nível APT, com acesso a exploits inéditos e profundo entendimento das plataformas corporativas visadas. Ainda assim, a Amazon observou que os ataques não pareciam direcionados a setores específicos, o que foge do padrão habitual de operações APT, geralmente voltadas a espionagem ou sabotagem seletiva. Isso pode indicar um estágio inicial de teste ou disseminação de ferramentas.
Para as empresas, a lição é clara: mesmo sistemas de infraestrutura consolidada, como NetScaler ADC/Gateway e Cisco ISE, podem ser explorados antes de qualquer alerta público. Portanto, é crucial garantir que as correções das CVE-2025-5777 e CVE-2025-20337 estejam aplicadas, revisar logs em busca de anomalias e limitar o acesso de interfaces administrativas expostas.
A descoberta feita pelo Amazon MadPot reforça que o ecossistema de segurança precisa evoluir de forma proativa. Em tempos de ataques cada vez mais silenciosos e automatizados, esperar o próximo patch pode não ser suficiente.
