--- id: CP-181 slug: autopsia-equifax-struts-pt lang: pt title: Autópsia da Equifax 2017 description: "Falha do Apache Struts de março de 2017 (CVE-2017-5638): como se pode tomar um servidor exposto com componente desatualizado e o que faz um colaborador." canonical_url: https://startbrain.io/cyberpedia/pt/articles/autopsia-equifax-struts-pt/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/autopsia-equifax-struts-pt.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Autópsia da Equifax 2017», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/autopsia-equifax-struts-pt/ (CC BY 4.0) wing: 2 theme: report_incidents reflex: cr-031 schema: G4 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/autopsia-equifax-struts-pt/ fr: https://startbrain.io/cyberpedia/fr/articles/autopsie-equifax-struts/ en: https://startbrain.io/cyberpedia/en/articles/equifax-breach-struts-autopsy/ de: https://startbrain.io/cyberpedia/de/articles/equifax-struts-analyse/ es: https://startbrain.io/cyberpedia/es/articles/autopsia-equifax-struts/ it: https://startbrain.io/cyberpedia/it/articles/autopsia-equifax-struts/ nl: https://startbrain.io/cyberpedia/nl/articles/equifax-struts-autopsie/ sources: - "n": 1 title: Vulnérabilité dans Apache Struts publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/alerte/CERTFR-2017-ALE-004/ published: "2017-03-10" accessed: "2026-11-03" - "n": 2 title: Exploit Public-Facing Application publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1190/ accessed: "2026-11-03" - "n": 3 title: "Server Software Component: Web Shell" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1505/003/ accessed: "2026-11-03" - "n": 4 title: Exfiltration Over C2 Channel publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1041/ accessed: "2026-11-03" - "n": 5 title: "[MaJ] Vulnérabilité dans Apache Log4j" publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/alerte/CERTFR-2021-ALE-022/ published: "2021-12-10" accessed: "2026-11-03" - "n": 6 title: Mitigating Log4Shell and Other Log4j-Related Vulnerabilities publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-356a accessed: "2026-11-03" - "n": 7 title: Vulnerability management publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/vulnerability-management published: "2024-02-12" accessed: "2026-11-03" --- # Autópsia da Equifax 2017 Um servidor web aberto à Internet e um software que não recebeu a sua atualização: esta situação expõe uma rede a uma intrusão. Esta ficha acompanha a falha Apache Struts CVE-2017-5638, tornada pública em março de 2017 [1], e compara-a com um caso mais recente, o Log4Shell. Nota sobre as fontes: o dossiê de referências desta ficha descreve a falha, a sua exploração e as boas práticas, mas não documenta o pormenor da intrusão na Equifax (duração, volume de dados, supervisão). Estes elementos não são, por isso, retomados aqui. ## Em 30 segundos - Onde acontece: num servidor ou numa aplicação acessível a partir da Internet, por exemplo um site, em que um componente não está atualizado. - O que quer o atacante: executar comandos à distância, depois manter um acesso e retirar dados. - O reflexo: comunicar sem demora ao serviço informático qualquer comportamento anormal de um site ou de uma ferramenta da empresa, sem tentar diagnosticá-lo por si. - Se já aconteceu: avisar a equipa de segurança, que decidirá se é preciso isolar a aplicação em causa. ## Perguntas diretas ### Qual foi a falha de março de 2017? Uma vulnerabilidade do Apache Struts permitia a um atacante provocar a execução de código arbitrário à distância [1]. As versões 2.3.x anteriores à 2.3.32 e 2.5.x anteriores à 2.5.10.1 eram afetadas [1]. A Apache publicou o boletim S2-045 em 6 de março de 2017 para disponibilizar uma correção [1]. ### Era preciso ser perito para a explorar? Não. O CERT-FR assinalava «le faible niveau de technicité nécessaire à l'exploitation de cette vulnérabilité» e recomendava que a correção fosse implementada o mais depressa possível [1]. A falha estava a ser ativamente explorada desde a publicação do boletim [1]. ### Um colaborador pode fazer alguma coisa? Não aplica correções, mas por vezes vê o primeiro sinal: uma página que responde mal, uma ferramenta que se comporta de maneira diferente. O NCSC britânico parte do princípio de que as atualizações são um controlo «business as usual» [7]. ### Que fazer com uma aplicação vulnerável que contém dados sensíveis? O CERT-FR considerava que devia ser desativada enquanto a atualização não fosse aplicada: escrevia que era «fortement conseillé» [1]. ## Na pele do atacante O atacante procura uma porta de entrada já aberta. O MITRE descreve esta técnica: explorar uma fraqueza de um sistema exposto à Internet para obter um primeiro acesso a uma rede. A fraqueza pode ser um defeito de software, um incidente passageiro ou um erro de configuração [2]. As aplicações exploradas são muitas vezes sites e servidores web [2]. No caso da falha Struts, o CERT-FR fala de um «faible niveau de technicité» necessário para a exploração [1]. As fontes não descrevem o formato exato do ataque e esta ficha não o inventa. Depois, instala-se. O MITRE descreve a web shell: um script colocado num servidor web acessível, que serve de passagem para a rede e pode oferecer funções de execução ou uma linha de comandos na máquina que aloja o servidor [3]. O objetivo é um acesso duradouro (tática «Persistence» no MITRE) [3]. Por fim, retira os dados. O MITRE descreve uma exfiltração pelo canal de comando e controlo já estabelecido: os dados roubados são codificados no fluxo normal de comunicação, com o mesmo protocolo [4]. ## O que vê no ecrã O ecrã pode não mostrar nada de anormal. Os pequenos pormenores merecem então ser comunicados: lentidão invulgar, página modificada, serviço que reinicia sem razão, alerta de uma ferramenta de segurança. Estes sinais, por si só, não provam nada. O colaborador não tem de decidir: descreve o que viu (hora, aplicação, comportamento) e deixa a equipa de segurança concluir. ## Por baixo do capô O mecanismo resume-se a quatro etapas, cada uma apoiada nas fontes. - A falha: um defeito num componente (aqui o Struts) que a correção da Apache resolve [1]. - A entrada: a exploração de uma aplicação exposta à Internet, que permite a execução de código à distância [1][2]. - A instalação: uma web shell ou outro acesso duradouro [3]. - A saída: os dados deixam a rede pelo canal de comando e controlo [4]. Do lado da defesa, o MITRE enumera medidas contra a exploração de uma aplicação exposta. Atualizar regularmente o software exposto. Analisar regularmente os sistemas expostos e prever procedimentos de correção rápida quando é descoberta uma falha crítica. Segmentar os servidores expostos do resto da rede. Restringir o tráfego de saída dos servidores públicos: isto não impede a exploração inicial, mas o atacante tem mais dificuldade em controlar depois o servidor comprometido [2]. O NCSC recorda um ponto de fundo: todos os sistemas contêm vulnerabilidades, e uma gestão eficaz permite saber quais estão presentes e onde as atualizações falham [7]. ## Autópsias ### Apache Struts, março de 2017 Em 6 de março de 2017, a Apache publica o boletim S2-045 [1]. Em 10 de março de 2017, o CERT-FR difunde o seu alerta, que indica que a falha está a ser ativamente explorada desde a publicação [1]. O alerta é encerrado em 10 de maio de 2017 [1]. À data do seu alerta, quatro dias depois do boletim, o CERT-FR constata, portanto, a exploração ativa da falha [1]. ### Log4Shell, dezembro de 2021 O CERT-FR publica o seu primeiro alerta sobre o Log4j em 10 de dezembro de 2021 [5]. A biblioteca é muito utilizada em projetos Java e pelos editores de software de prateleira [5]. Um atacante pode provocar a execução de código à distância sem estar autenticado, por exemplo através de uma página de autenticação que regista os erros [5]. Segundo informações públicas retomadas pelo aviso conjunto da CISA e dos seus parceiros, a exploração do Log4Shell começou em 1 de dezembro de 2021 ou por volta dessa data, e existe um código de exploração público [6]. O FBI observou tentativas de exploração e análises em massa destinadas a instalar software de mineração de criptomoeda e de botnet [6]. O aviso pede, em primeiro lugar, que se identifiquem os recursos em causa: inventariar todos os ativos que utilizam a biblioteca Log4j, incluindo na nuvem [6]. ## Fontes 1. CERT-FR (ANSSI), «Vulnérabilité dans Apache Struts», 10 de março de 2017. https://cert.cyber.gouv.fr/alerte/CERTFR-2017-ALE-004/ (consultado em 3 de novembro de 2026) 2. MITRE ATT&CK, «Exploit Public-Facing Application». https://attack.mitre.org/techniques/T1190/ (consultado em 3 de novembro de 2026) 3. MITRE ATT&CK, «Server Software Component: Web Shell». https://attack.mitre.org/techniques/T1505/003/ (consultado em 3 de novembro de 2026) 4. MITRE ATT&CK, «Exfiltration Over C2 Channel». https://attack.mitre.org/techniques/T1041/ (consultado em 3 de novembro de 2026) 5. CERT-FR (ANSSI), «[MaJ] Vulnérabilité dans Apache Log4j», 10 de dezembro de 2021. https://cert.cyber.gouv.fr/alerte/CERTFR-2021-ALE-022/ (consultado em 3 de novembro de 2026) 6. CISA, «Mitigating Log4Shell and Other Log4j-Related Vulnerabilities». https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-356a (consultado em 3 de novembro de 2026) 7. NCSC (Royaume-Uni), «Vulnerability management», 12 de fevereiro de 2024. https://www.ncsc.gov.uk/collection/vulnerability-management (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/autopsia-equifax-struts-pt/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.