# Aviso do FBI e da CISA descreve ferramentas de invasão e os rastros forenses que elas deixam em redes críticas - Publicado: 08.Nov.2026 - Assunto: Perícia digital - Endereço: https://nexocausal.eng.br/artigos/aviso-fbi-cisa-aa26-281a-ferramentas-de-invasao-e-rastros-forenses/ - Fonte original: CISA (Cybersecurity and Infrastructure Security Agency), https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a, 08.Out.2026 (inglês) - Marcadores: aviso de segurança, invasão de redes, análise forense, Active Directory, indicadores de comprometimento - Como citar: NEXO CAUSAL, "Aviso do FBI e da CISA descreve ferramentas de invasão e os rastros forenses que elas deixam em redes críticas", 08.Nov.2026, https://nexocausal.eng.br/artigos/aviso-fbi-cisa-aa26-281a-ferramentas-de-invasao-e-rastros-forenses/ ## O que importa - O aviso conjunto AA26-281A, publicado em 8 de outubro de 2026, descreve um conjunto de ferramentas usadas para roubar dados sensíveis de organizações dos Estados Unidos e de outros países. - Os investigadores identificaram um executável que se disfarça de componente do Windows e uma sequência de técnicas que vai do acesso inicial à extração de e-mails pelo Exchange. - Como muitos dos indicadores listados são de 2016, o aviso pede que cada um seja verificado antes de ser bloqueado. O aviso conjunto AA26-281A, publicado em 8 de outubro de 2026, descreve um conjunto de ferramentas e técnicas usadas para invadir redes e roubar dados sensíveis, e ele foi assinado pelo FBI, pela CISA, pela NSA e por órgãos de seis outros países. ## Quem são os autores e os alvos O aviso foi emitido pelo FBI, pela CISA e pela NSA, com a participação de parceiros do Reino Unido, da Austrália, do Canadá, do Japão, da Nova Zelândia e da Espanha, e a principal fonte técnica da investigação é o próprio FBI. A atividade é associada a grupos que a publicação chama de Flax Typhoon, Ethereal Panda e Red Juliett, mas o próprio texto ressalva que esses atores também podem fazer trabalhos sem relação com a empresa citada como facilitadora. Segundo o aviso, essa empresa é a Integrity Technology Group, sediada na China, que desenvolve e vende ferramentas de invasão, hospeda infraestrutura e compromete redes. Os alvos listados são serviços e instalações governamentais, manufatura crítica, saúde e saúde pública, tecnologia da informação, além de forças de segurança, instituições de ensino e organizações religiosas. ## Como a invasão avança Na fase de reconhecimento, os atacantes usam scanners de código aberto, como masscan, NMAP, wpscan e Fscan, e uma aplicação em Python chamada MicroScan, que reúne mais de 1.300 scripts de teste de invasão. No acesso inicial, aparecem scripts de exploração escritos em Python e em Go, além de cargas de cross-site scripting que injetam formulários de login falsos para capturar credenciais. Para tentar senhas, a ferramenta EBurst faz password spraying, isto é, testa poucas senhas comuns em muitas contas, contra as interfaces EWS, OWA, ActiveSync e PowerShell do Microsoft Exchange e do Office 365. Para se manter no sistema, os invasores instalam clientes SoftEther VPN disfarçados de binários do Windows, como conhost.exe e dllhost.exe, nomes que um analista costuma deixar passar sem conferir o caminho do arquivo. Para extrair credenciais do domínio, usam a ferramenta DC.exe, que puxa dados do Active Directory a partir dos controladores de domínio. A coleta de e-mails acontece pela API Exchange Web Services, e a ferramenta office-cli puxa de forma contínua a caixa de correio do Outlook 365. ## Os rastros forenses O aviso lista um executável chamado live700_v1.exe, que roda com o nome DiagTrack.exe, o mesmo de um componente legítimo do Windows, e que envia sinais a um domínio de nuvem citado no texto. Um script de exfiltração, identificado como Curlc4.txt, envia mensagens a domínios de serviço também citados, e comprime ou cifra os dados com RC4 ou AES-128-CBC antes de sair da rede. Nove domínios relacionados à SoftEther aparecem na lista de infraestrutura, e o apêndice A reúne uma tabela extensa de domínios, endereços IP, webshells, ferramentas e arquivos derrubados. Entre as vulnerabilidades exploradas, o apêndice B lista oito CVEs, de 2014 a 2023, e algumas delas foram incluídas agora no catálogo de vulnerabilidades exploradas da CISA. Os indicadores de comprometimento são, em boa parte, de 2016, e por isso o aviso pede que cada um seja conferido com a rede antes de qualquer bloqueio automático. ## O que o aviso recomenda As medidas começam por desativar serviços e portas que não são usados e por reduzir a exposição de sistemas à internet. Também pedem autenticação de múltiplos fatores, principalmente para webmail e VPN, a troca de senhas padrão e a limitação de privilégios administrativos. Para a busca de comprometimento, o aviso indica sinais como uso indevido de ferramentas nativas do sistema, replicação incomum do Active Directory, logons anormais e grande volume de tráfego de saída. O texto encerra com a indicação de manter backups offline e protegidos por senha, filtrar downloads e consultas DNS por reputação, e seguir os passos de resposta a incidentes, incluindo a Eviction Strategies Tool da CISA. ## Por que o caso interessa à perícia digital Uma investigação desse tipo depende de cruzar registros de autenticação, logs do Exchange e artefatos de disco, porque o malware foi feito para parecer um processo comum do sistema. O nome de um executável, sozinho, não prova nada, e a prova vem da origem do arquivo, do caminho em que ele roda e da conexão que ele mantém.