A empresa Barracuda Networks, sediada em Campbell, Califórnia, foi forçada a pedir que seus clientes fisicamente removam e descomissionem uma linha inteira de hardware afetado. Isso aconteceu porque uma vulnerabilidade zero-day causou uma ameaça de malware que parece ter comprometido os dispositivos de segurança de e-mail da empresa de uma maneira tão fundamental que eles não podem mais ser atualizados com correções de software.

A empresa contratou a empresa de resposta a incidentes Mandiant em 18 de maio, depois de receber relatos sobre tráfego incomum originado em seus dispositivos de Gateway de Segurança de E-mail (ESG), projetados para ficar na borda da rede de uma organização e verificar todos os e-mails que entram e saem em busca de malware.

Em 19 de maio, a Barracuda identificou que o tráfego malicioso estava explorando uma vulnerabilidade desconhecida em seus dispositivos ESG, e em 20 de maio a empresa lançou um patch para a falha em todos os dispositivos afetados (CVE-2023-2868).

Em seu comunicado de segurança, a Barracuda disse que a vulnerabilidade existia no componente de software da Barracuda responsável por verificar anexos em busca de malware. Mais alarmante ainda, a empresa disse que parece que os atacantes começaram a explorar a falha em outubro de 2022.

Mas em 6 de junho, a Barracuda começou a insistir que seus clientes substituam por completo - e não apenas atualizem - os dispositivos afetados.

"Aparelhos ESG afetados devem ser substituídos imediatamente, independentemente do nível da versão do patch", alertou o comunicado da empresa. "A recomendação da Barracuda neste momento é a substituição completa do ESG afetado."

A empresa afirmou que fornecerá o produto de substituição aos clientes afetados sem custo adicional e que nem todos os dispositivos ESG foram comprometidos.

No entanto, a declaração diz que "por excesso de cautela e em prol de nossa estratégia de contenção, recomendamos que os clientes afetados substituam seu dispositivo comprometido".

Até 8 de junho de 2023, cerca de 5% dos dispositivos ESG ativos em todo o mundo mostraram qualquer evidência de indicadores conhecidos de comprometimento devido à vulnerabilidade. Apesar da implantação de patches adicionais com base em conhecidos indicadores de comprometimento, continuamos a ver evidências de atividade de malware em um subconjunto dos dispositivos comprometidos. Portanto, gostaríamos que os clientes substituíssem qualquer dispositivo comprometido por um novo dispositivo não afetado.

Caitlin Condon, da Rapid7, chamou essa reviravolta notável de "bastante impressionante" e disse que parece haver cerca de 11.000 dispositivos ESG vulneráveis ainda conectados à Internet em todo o mundo.

A Barracuda disse que o malware foi identificado em um subconjunto de dispositivos que permitiram aos atacantes acesso persistente, e que evidências de exfiltração de dados foram identificadas em alguns sistemas.

A Rapid7 disse que não viu evidências de que os invasores estejam usando a falha para se mover lateralmente dentro das redes das vítimas. Mas isso pode ser uma pequena consolação para os clientes da Barracuda que agora estão se acostumando com a ideia de que espiões cibernéticos estrangeiros provavelmente estiveram absorvendo todos os seus e-mails por meses.

Nicholas Weaver, pesquisador do Instituto Internacional de Ciência da Computação da Universidade da Califórnia em Berkeley, disse que é provável que o malware tenha sido capaz de corromper o firmware subjacente que alimenta os dispositivos ESG de alguma forma irreparável.

"Um dos objetivos do malware é ser difícil de remover, e isso sugere que o malware comprometeu o próprio firmware para torná-lo realmente difícil de remover e realmente furtivo", disse Weaver. "Isso não é um ator de ransomware, é um ator estatal. Por que? Porque um ator de ransomware não se importa com esse nível de acesso. Eles não precisam. Se eles estão indo para extorsão de dados, é mais como um roubo. Se eles estão indo para o resgate de dados, eles estão criptografando os dados em si - não as máquinas."

Além de substituir os dispositivos, a Barracuda diz que os clientes do ESG também devem girar quaisquer credenciais conectadas ao(s) dispositivo(s) e verificar sinais de comprometimento que datam de pelo menos outubro de 2022 usando os indicadores de rede e endpoint que a empresa lançou publicamente.