O que é execução remota de código (RCE)? Como a IA acelera a exploração e como limitar os danos

Uma falha de execução remota de código transforma um servidor vulnerável no computador de outra pessoa. O atacante envia uma entrada que o aplicativo deveria ter rejeitado, e o aplicativo a executa como um comando. A IA acelera as partes desse trabalho que antes levavam o tempo real do atacante.

O que é execução remota de código (RCE)?

A execução remota de código é uma classe de vulnerabilidade que permite a um atacante executar seu próprio código ou comandos em um sistema alvo pela rede, sem acesso prévio. Também é chamada de execução arbitrária de código. De qualquer forma, o atacante decide o que a máquina faz. Uma vulnerabilidade RCE geralmente vem de um aplicativo que insere entrada não confiável em algo que executa: um comando shell, um modelo, um objeto desserializado, um manipulador de upload de arquivos. O exploit RCE é a entrada ou sequência específica que desencadeia a falha.

Como funciona a execução remota de código

O ataque geralmente ocorre em linha reta. O atacante encontra um sistema exposto executando um componente vulnerável, envia uma entrada criada e faz o código rodar sob a conta de serviço. O primeiro payload é pequeno, geralmente um web shell ou um comando que baixa algo. Ferramentas maiores aparecem depois que o atacante confirma que o acesso funciona.

Log4Shell (CVE-2021-44228) é um bom exemplo de até onde uma falha pode chegar. Divulgada em dezembro de 2021 na biblioteca de registro Apache Log4j, permitiu que uma única string criada em um campo registrado fizesse um servidor vulnerável buscar e executar código controlado pelo atacante. Log4j estava incorporado em tantas aplicações que o bug apareceu em todos os lugares.

A maioria dos bugs RCE começa pequena. A primeira função abaixo passa a entrada do usuário diretamente para um shell. A segunda descarta o shell e valida a entrada.

      # Vulnerable: input goes straight to a shell
import os
def ping(host):
    os.system("ping -c 1 " + host)   # host = "8.8.8.8; id" runs a second command

# Safer: no shell, validated input
import ipaddress, subprocess
def ping(host):
    ipaddress.ip_address(host)        # raises ValueError unless host is an IP
    subprocess.run(["ping", "-c", "1", host], check=True)

      

Como a IA muda os ataques de execução remota de código

A classe de vulnerabilidade é antiga. Os atacantes mudaram a velocidade com que podem avançar em cada etapa.

Os alvos são classificados

A varredura em toda a Internet existe há anos. A IA ajuda na organização: os resultados da varredura podem ser agrupados por software e versão e classificados pela probabilidade de cada sistema ter uma falha conhecida, para que os atacantes busquem primeiro os melhores candidatos.

Patches se tornam tutoriais de exploração

Os fornecedores publicam patches e avisos para ajudar os defensores, e os atacantes também os leem. Um modelo pode pegar um diff de patch ou aviso e descrever o caminho do código vulnerável, o que reduz o trabalho de engenharia reversa e encurta o tempo entre a divulgação pública e um exploit funcional.

Um proof of concept, muitas versões

Uma prova de conceito pública geralmente mira uma versão ou framework. Modelos podem portá-la para uma versão ou idioma diferente e alterar a carga útil para evitar um padrão de detecção conhecido.

Ataques em múltiplas etapas precisam de menos habilidade

Muitos ataques web ocorrem em duas etapas. Uma pequena injeção prova que o código está em execução, depois uma segunda etapa baixa ferramentas maiores. Os modelos podem criar essa cadeia e tentar novamente com alterações quando uma etapa falha, então executar ataques em várias etapas contra um CMS, API ou portal exige menos habilidade do que antes.

O trabalho de acompanhamento é executado por um script

Após a execução do código, o acompanhamento é repetitivo: ler arquivos de configuração, coletar chaves e credenciais, criar uma tarefa agendada para que o acesso sobreviva a uma reinicialização e procurar sistemas vizinhos. Rotinas automatizadas e assistidas por IA realizam essas etapas da mesma forma todas as vezes.

A mesma cadeia, centenas de organizações

Uma cadeia que funciona contra uma organização pode ser direcionada a centenas. Cada etapa anterior alimenta a próxima, e cada alvo extra custa menos ao atacante que o anterior.

O que os atacantes fazem nos primeiros minutos após um exploit RCE

Os primeiros passos após uma exploração bem-sucedida seguem um padrão. Os atacantes colocam um web shell ou loader em um diretório onde o serviço pode gravar, depois adicionam uma tarefa agendada, serviço ou cron job para que o acesso sobreviva a uma reinicialização. Em seguida, eles extraem as credentials e chaves de arquivos de configuração e memória e começam a sondar sistemas vizinhos.

Cada passo deixa um rastro que você pode verificar. Esses comandos mostram alterações recentes de arquivos em um web root e novas entradas cron no Linux.

      # Files changed in the web root in the last 24 hours
find /var/www -type f -mtime -1 -ls

# Recently modified cron entries
ls -lt /etc/cron.d /var/spool/cron 2>/dev/null | head
      

No Windows, esta consulta lista as tarefas agendadas registradas no último dia. Ative primeiro o log operacional do Agendador de Tarefas, pois ele está desativado por padrão.

      Get-WinEvent -FilterHashtable @{
  LogName   = 'Microsoft-Windows-TaskScheduler/Operational'
  Id        = 106
  StartTime = (Get-Date).AddDays(-1)
} | Select-Object TimeCreated, Message
      

Verificações manuais como estas funcionam em um servidor. Em centenas de sistemas, elas ficam atrasadas, e um atacante rápido pode terminar antes da próxima revisão agendada.

Como prevenir a execução remota de código e limitar os danos

A aplicação de patches e o manuseio seguro de entradas ainda são as principais defesas contra uma vulnerabilidade RCE. Tudo o que vem depois assume que uma falha será explorada antes da chegada do patch, então o objetivo muda para detectar mudanças rapidamente e limitar o que um serviço comprometido pode fazer.

Netwrix Change Tracker monitora os sistemas afetados por um ataque RCE. Define linhas de base de configuração e usa monitoramento de integridade de arquivos para sinalizar arquivos novos ou modificados, como um web shell adicionado a um diretório web, além de alterações em arquivos e configurações críticas do sistema em Windows, Linux, Unix e dispositivos de rede. Seu modelo de mudança planejada compara o que observa com as solicitações de mudança aprovadas, então uma modificação não programada é sinalizada para revisão. O histórico de mudanças fornece aos investigadores uma linha do tempo, e a autenticação de arquivos do sistema verifica os arquivos contra bancos de dados globais de reputação para confirmar quais são confiáveis.

Netwrix PolicyPak limita o que um invasor pode fazer uma vez que o código está em execução em um sistema Windows. Privilégio mínimo remove direitos de administrador local e define regras de elevação para usuários padrão, para que um processo comprometido tenha menos permissões. Com o PolicyPak, você pode bloquear a execução de aplicativos e scripts se o proprietário do arquivo não estiver previamente na lista branca.

Lista de verificação para prevenção de execução remota de código

1. Aplique patches no software exposto à internet em um cronograma definido, começando por plataformas CMS, portais VPN e APIs.
2. Valide e sanitize a entrada, mantendo a entrada do usuário longe de shells, templates e desserializadores.
3. Execute serviços com o menor privilégio e remova os direitos de administrador local onde não forem necessários.
4. Monitore diretórios web, arquivos críticos e configurações para mudanças não planejadas.
5. Bloqueie aplicativos e scripts não confiáveis de serem executados em sistemas Windows.
6. Mantenha um histórico de alterações pesquisável para que as investigações comecem com uma linha do tempo.