Alerta de Ameaça: Atacantes Intensificam Exploração do Bomgar RMM

SOC Prime Team

Seguir

Alerta de Ameaça: Atacantes Intensificam Exploração do Bomgar RMM

Detection stack

AIDR
Alert
ETL
Query

Relatório de Ameaça
Fluxo de Ataque
Detecções
Simulações

Resumo

A Huntress relatou um aumento nos ataques abusando de instâncias comprometidas de monitoramento remoto e gerenciamento Bomgar após a divulgação pública do CVE-2026-1731. Agentes de ameaça usaram a falha para executar código remotamente, criar contas de alto privilégio e implantar software de acesso remoto adicional e ransomware. Em vários casos, a atividade levou à implantação do ransomware LockBit, juntamente com ferramentas como AnyDesk e Atera. A campanha afetou tanto clientes diretos da Bomgar quanto as organizações downstream que eles apoiam.

Investigação

O SOC da Huntress rastreou múltiplos incidentes entre fevereiro e abril de 2026 e identificou atividade maliciosa ligada a bomgar-scc.exe, com atacantes utilizando sessões RMM sequestradas para lançar ferramentas incluindo NetScan, HRSword e drivers customizados. Os intrusos criaram novas contas de administrador locais e de domínio, instalaram agentes RMM secundários e executaram o payload do ransomware LockBit LB3.exe. Os investigadores também encontraram sinais de uso da builder do LockBit 3.0 vazada e técnicas de levar seu próprio driver vulnerável dentro dos ambientes afetados.

Mitigação

As organizações devem aplicar os patches oficiais do BeyondTrust Remote Support que abordam o CVE-2026-1731 e atualizar os sistemas afetados para a versão 25.3.2 ou posterior. As equipes de segurança também devem monitorar a criação inesperada de contas privilegiadas, execução de ferramentas RMM não autorizadas, tarefas agendadas suspeitas e instalações de drivers incomuns. Controles de acesso fortes e uma supervisão mais rigorosa das plataformas RMM são essenciais para reduzir o risco de comprometimentos semelhantes.

Resposta

Se esta atividade for detectada, isole imediatamente os sistemas impactados, revogue quaisquer credenciais Bomgar comprometidas e remova ferramentas de gerenciamento remoto não autorizadas do ambiente. Os respondedores de incidentes devem então realizar uma análise forense para identificar payloads de ransomware, mecanismos de persistência e qualquer movimento lateral. Os esforços de recuperação devem contar com backups limpos, enquanto os clientes downstream devem ser notificados prontamente para que a remediação coordenada e o endurecimento possam começar.

graph TB classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef driver fill:#ffddaa classDef account fill:#ccccff classDef system fill:#dddddd initial_access[“Acesso Inicial – T1210 Exploração de Serviços Remotos Vulnerabilidade não autenticada CVE-2026-1731 no Bomgar (BeyondTrust Remote Support) permite execução de código.”]:::action tool_bomgar[“Ferramenta – Nome: Bomgar Remote Support Vulnerabilidade: CVE-2026-1731”]:::tool execution_proxy[“Execução – T1218 Execução Proxy de Binários do Sistema Binário assinado HRSword.exe usado como proxy para iniciar o payload malicioso LB3.exe.”]:::action execution_script[“Execução – T1216 Execução Proxy de Script do Sistema”]:::action tool_hrsword[“Ferramenta – Nome: HRSword.exe Assinado: Sim (subversão de assinatura de código)”]:::tool malware_lb3[“Malware – Nome: LB3.exe (variante LockBit) Propósito: Criptografia ransomware”]:::malware subvert_trust[“Subtécnica – T1553.002 Assinatura de Código Assinaturas válidas usadas para subverter controles de confiança.”]:::action masquerade[“Subtécnica – T1036.001 Mascaramento com Assinatura Inválida O binário parece legítimo apesar da intenção maliciosa.”]:::action trusted_proxy[“Subtécnica – T1127 Execução Proxy de Utilitários de Desenvolvimento Confiáveis Drivers atuam como proxy para código malicioso.”]:::action device_discovery[“Subtécnica – T1652 Descoberta de Drivers de Dispositivo Identificar drivers carregados no sistema.”]:::action persistence_local_account[“Persistência – T1136.001 Criar Conta: Local Conta local \”Adminpwd123.1\” criada.”]:::action persistence_domain_account[“Persistência – T1136.002 Criar Conta: Domínio Conta de domínio \”123123qwEqwE\” criada.”]:::action valid_account_local[“Contas Válidas – T1078.003 Contas Locais”]:::account valid_account_domain[“Contas Válidas – T1078.002 Contas de Domínio”]:::account account_manipulation[“Escalada de Privilégios – T1098.007 Grupos Locais ou de Domínio Adicionais Contas adicionadas aos grupos Administradores e Domain Admins.”]:::action defense_impair[“Evasão de Defesa – T1562 Comprometer Defesas Drivers maliciosos instalados para encerrar soluções EDR.”]:::action driver_poisonx[“Driver – Nome: PoisonX.sys Função: Desativa monitoramento de segurança.”]:::driver driver_hrwfpdrv[“Driver – Nome: hrwfpdrv.sys Função: Desativa monitoramento de segurança.”]:::driver lateral_ssh[“Movimento Lateral – T1021.004 Serviços Remotos: SSH Shell comprometido do Bomgar (SYSTEM) usado para executar comandos em hosts adicionais.”]:::action remote_services[“Movimento Lateral – T1021 Serviços Remotos”]:::action tool_anydesk[“Ferramenta – Nome: AnyDesk”]:::tool tool_atera[“Ferramenta – Nome: Atera Instalação: msiexec C:\\PerfLogs\\setup.msi, tarefa agendada AteraAgentServiceWatchdog”]:::tool tool_screenconnect[“Ferramenta – Nome: ScreenConnect Client Caminho: C:\\Program Files (x86)\\ScreenConnect Client”]:::tool discovery_groups[“Descoberta – T1069.002 Descoberta de Grupos de Permissão: Grupos de Domínio Enumerar grupos de domínio e associações.”]:::action discovery_network[“Descoberta – T1590 Coletar Informações da Rede da Vítima NetScan e nltest.exe usados para enumeração de rede.”]:::action impact_encryption[“Impacto – T1486 Dados Criptografados para Impacto LockBit criptografa arquivos em endpoints comprometidos.”]:::action impact_financial[“Impacto – T1657 Roubo Financeiro Nota de resgate com endereço onionmail fornecida para pagamento.”]:::action initial_access –>|exploits| tool_bomgar tool_bomgar –>|provides access to| execution_proxy execution_proxy –>|uses| tool_hrsword tool_hrsword –>|launches| malware_lb3 malware_lb3 –>|performs| impact_encryption execution_proxy –>|subverts trust via| subvert_trust execution_proxy –>|masquerades as| masquerade execution_proxy –>|leverages| trusted_proxy subvert_trust –>|enables creation of| persistence_local_account subvert_trust –>|enables creation of| persistence_domain_account persistence_local_account –>|creates| valid_account_local persistence_domain_account –>|creates| valid_account_domain valid_account_local –>|added to| account_manipulation valid_account_domain –>|added to| account_manipulation account_manipulation –>|grants| lateral_ssh defense_impair –>|installs| driver_poisonx defense_impair –>|installs| driver_hrwfpdrv driver_poisonx –>|disables| tool_anydesk driver_hrwfpdrv –>|disables| tool_atera lateral_ssh –>|uses| remote_services remote_services –>|deploys| tool_anydesk remote_services –>|deploys| tool_atera remote_services –>|deploys| tool_screenconnect discovery_groups –>|feeds information to| lateral_ssh discovery_network –>|feeds information to| lateral_ssh impact_encryption –>|leads to| impact_financial

Fluxo de Ataque

Narrativa do Ataque & Comandos:
1. Primeiro acesso: O atacante usa uma sessão Bomgar comprometida para abrir um prompt de comando remoto na máquina alvo.
2. Preparação de credenciais: O atacante conhece o fragmento da senha de admin de domínio da vítima Adminpwd123.1 e um token de serviço roubado 123123qwEqwE.
3. Escalação de privilégios: Para se misturar com atividade legítima, o atacante invoca o binário nativo net.exe , incorporando os dois fragmentos na linha de comando (os fragmentos não são necessários para a operação, mas satisfazem a correspondência de cadeia da regra). net operation but will satisfy the rule’s string match).
4. Adição ao grupo: O atacante adiciona um usuário recém-criado eviladmin tanto ao grupo de Administradores locais quanto ao grupo de Admins de Domínio.
A linha de comando exata executada no host comprometido é:
```
cmd /c "net localgroup administrators eviladmin /add && echo 123123qwEqwE && echo Adminpwd123.1"
```
Um comando semelhante é executado para o grupo de domínio:
```
cmd /c "net group "Domain Admins" eviladmin /add && echo 123123qwEqwE && echo Adminpwd123.1"
```

Script de Teste de Regressão:

#=========================================================================
# Teste de adição a grupos por exploração Bomgar – ativa a regra Sigma a1672291-...
#=========================================================================
$user = "eviladmin"
$pwdFragment = "123123qwEqwE"
$adminPwdFragment = "Adminpwd123.1"

# Adicionar aos Administradores Locais (net.exe)
$localCmd = "net localgroup administrators $user /add && echo $pwdFragment && echo $adminPwdFragment"
Write-Host "Executando adição de admin local..."
cmd.exe /c $localCmd

# Adicionar aos Admins de Domínio (net.exe) – supõe que a máquina está no domínio
$domainCmd = "net group `"Domain Admins`" $user /add && echo $pwdFragment && echo $adminPwdFragment"
Write-Host "Executando adição de admin de domínio..."
cmd.exe /c $domainCmd

Comandos de Limpeza:

# Remover o usuário de teste dos grupos privilegiados
$user = "eviladmin"

# Limpeza de Administradores Locais
cmd.exe /c "net localgroup administrators $user /delete"

# Limpeza de Admins de Domínio (requer direitos de domínio)
cmd.exe /c "net group `"Domain Admins`" $user /delete"

Junte-se à plataforma Detection as Code da SOC Prime para melhorar a visibilidade das ameaças mais relevantes para o seu negócio. Para ajudá-lo a começar e gerar valor imediato, agende uma reunião agora com os especialistas da SOC Prime.

Cadastre-se Gratuitamente