Pesquisadores da Mandiant Threat Defense, da Google, alertaram nesta segunda-feira (data do relatório) para a exploração de uma vulnerabilidade já corrigida na plataforma de compartilhamento de arquivos e acesso remoto Triofox, da Gladinet.
O que aconteceu
O problema, catalogado como CVE-2025-12480 e classificado com pontuação CVSS 9,1, permite a invasores contornarem a autenticação e acessarem as páginas de configuração do sistema. A partir daí, é possível carregar e executar códigos arbitrários.
Quando e quem explorou
A Mandiant observou o grupo identificado como UNC6485 explorando o defeito desde 24 de agosto de 2025, quase um mês após a Gladinet disponibilizar o patch na versão 16.7.10368.56560 do software.
Método de invasão
Os invasores usaram o acesso não autenticado para recriar o processo de configuração e gerar uma conta administrativa nativa chamada Cluster Admin. Em seguida, efetuaram login com essa conta para acionar a função interna de antivírus do Triofox.
O recurso permite definir um caminho personalizado para o executável do antivírus; os criminosos apontaram esse caminho para um script malicioso (centre_report.bat). O arquivo foi executado com privilégios de SYSTEM, possibilitando o download, a partir do endereço 84.200.80[.]252, do instalador do Zoho Unified Endpoint Management System (UEMS). Na sequência, foram implantadas ferramentas de acesso remoto como Zoho Assist e AnyDesk.
Ações pós-exploração
Com Zoho Assist, os atacantes realizaram reconhecimento interno, tentaram alterar senhas de contas existentes e adicioná-las aos grupos de Administradores locais e Domain Admins para ampliar privilégios.
Imagem: Internet
Para ocultar a comunicação, foram baixados os utilitários Plink e PuTTY, criando um túnel SSH criptografado na porta 433 e permitindo o tráfego RDP de entrada.
Recomendações
A Mandiant recomenda que usuários do Triofox:
- atualizem imediatamente para a versão mais recente;
- auditem contas administrativas criadas recentemente;
- verifiquem se o mecanismo de antivírus da plataforma não está configurado para executar scripts ou binários não autorizados.
Esta é a terceira vulnerabilidade do Triofox explorada ativamente em 2025, após as falhas CVE-2025-30406 e CVE-2025-11371.
Com informações de The Hacker News
