O grupo de ciberespionagem Tick, suspeito de atuar a partir da China desde 2006, está explorando uma vulnerabilidade crítica no Motex Lanscope Endpoint Manager para assumir o controle de sistemas corporativos. A brecha, catalogada como CVE-2025-61932 e avaliada em 9,3 no CVSS, permite a execução remota de comandos com privilégios de SYSTEM em instalações on-premise do software.
O alerta sobre a falha foi emitido neste mês pelo JPCERT/CC, que confirmou casos de uso ativo da vulnerabilidade para instalação de um backdoor. Segundo a empresa de segurança Sophos, a campanha utiliza a falha para implantar o Gokcpdoor, programa malicioso capaz de criar um canal de comunicação com servidores de comando e controle (C2) e executar instruções na máquina comprometida.
Dois perfis de Gokcpdoor
Análises da Sophos identificaram duas variantes do Gokcpdoor:
- Servidor: aguarda conexões de clientes para oferecer acesso remoto;
- Cliente: conecta-se a endereços C2 predefinidos, estabelecendo um túnel discreto.
A versão de 2025 abandonou o protocolo KCP e adotou multiplexação de tráfego por meio da biblioteca smux, ampliando a eficiência da comunicação com os servidores de controle.
Cadeia de ataque e ferramentas usadas
Além do backdoor, os invasores implantam o framework de pós-exploração Havoc e utilizam a técnica de DLL side-loading para acionar um carregador batizado de OAED Loader. O movimento lateral e a exfiltração de dados contam ainda com:
- goddi, ferramenta de coleta de informações de Active Directory;
- Remote Desktop, para acesso remoto por meio do túnel criado;
- 7-Zip, empregado na compactação de arquivos.
Durante sessões de área de trabalho remota, os operadores do Tick também acessam serviços em nuvem como io, LimeWire e Piping Server para retirar informações furtadas.
Imagem: Internet
Histórico de exploração de zero-days
O Tick tem histórico de uso de falhas não corrigidas. Em 2017, a Secureworks relatou que o grupo explorou a vulnerabilidade CVE-2016-7836, ainda sem correção na época, no software japonês SKYSEA Client View.
Recomendações
A Sophos aconselha a atualização imediata dos servidores Lanscope vulneráveis e a revisão de quaisquer instâncias expostas à internet que utilizem os componentes Lanscope Client Program (MR) ou Detection Agent (DA).
Com informações de The Hacker News
