Cyberpediapor Brain
PTDEENESFRITNL

Autópsia da Equifax 2017

Falha do Apache Struts de março de 2017 (CVE-2017-5638): como se pode tomar um servidor exposto com componente desatualizado e o que faz um colaborador.

Em 30 segundos

Onde acontece
Num servidor ou numa aplicação acessível a partir da Internet, por exemplo um site, em que um componente não está atualizado.
O que quer o atacante
Executar comandos à distância, depois manter um acesso e retirar dados.
O reflexo
Comunicar sem demora ao serviço informático qualquer comportamento anormal de um site ou de uma ferramenta da empresa, sem tentar diagnosticá-lo por si.
Se já aconteceu
Avisar a equipa de segurança, que decidirá se é preciso isolar a aplicação em causa.

Do que se trata

Um servidor web aberto à Internet e um software que não recebeu a sua atualização: esta situação expõe uma rede a uma intrusão. Esta ficha acompanha a falha Apache Struts CVE-2017-5638, tornada pública em março de 20171, e compara-a com um caso mais recente, o Log4Shell.

Nota sobre as fontes: o dossiê de referências desta ficha descreve a falha, a sua exploração e as boas práticas, mas não documenta o pormenor da intrusão na Equifax (duração, volume de dados, supervisão). Estes elementos não são, por isso, retomados aqui.

Perguntas diretas

Qual foi a falha de março de 2017?

Uma vulnerabilidade do Apache Struts permitia a um atacante provocar a execução de código arbitrário à distância1. As versões 2.3.x anteriores à 2.3.32 e 2.5.x anteriores à 2.5.10.1 eram afetadas1. A Apache publicou o boletim S2-045 em 6 de março de 2017 para disponibilizar uma correção1.

Era preciso ser perito para a explorar?

Não. O CERT-FR assinalava «le faible niveau de technicité nécessaire à l'exploitation de cette vulnérabilité» e recomendava que a correção fosse implementada o mais depressa possível1. A falha estava a ser ativamente explorada desde a publicação do boletim1.

Um colaborador pode fazer alguma coisa?

Não aplica correções, mas por vezes vê o primeiro sinal: uma página que responde mal, uma ferramenta que se comporta de maneira diferente. O NCSC britânico parte do princípio de que as atualizações são um controlo «business as usual»7.

Que fazer com uma aplicação vulnerável que contém dados sensíveis?

O CERT-FR considerava que devia ser desativada enquanto a atualização não fosse aplicada: escrevia que era «fortement conseillé»1.

1Na pele do atacante1 min

O atacante procura uma porta de entrada já aberta. O MITRE descreve esta técnica: explorar uma fraqueza de um sistema exposto à Internet para obter um primeiro acesso a uma rede. A fraqueza pode ser um defeito de software, um incidente passageiro ou um erro de configuração2. As aplicações exploradas são muitas vezes sites e servidores web2.

No caso da falha Struts, o CERT-FR fala de um «faible niveau de technicité» necessário para a exploração1. As fontes não descrevem o formato exato do ataque e esta ficha não o inventa.

Depois, instala-se. O MITRE descreve a web shell: um script colocado num servidor web acessível, que serve de passagem para a rede e pode oferecer funções de execução ou uma linha de comandos na máquina que aloja o servidor3. O objetivo é um acesso duradouro (tática «Persistence» no MITRE)3.

Por fim, retira os dados. O MITRE descreve uma exfiltração pelo canal de comando e controlo já estabelecido: os dados roubados são codificados no fluxo normal de comunicação, com o mesmo protocolo4.

2O que vê no ecrã1 min

O ecrã pode não mostrar nada de anormal. Os pequenos pormenores merecem então ser comunicados: lentidão invulgar, página modificada, serviço que reinicia sem razão, alerta de uma ferramenta de segurança.

Estes sinais, por si só, não provam nada. O colaborador não tem de decidir: descreve o que viu (hora, aplicação, comportamento) e deixa a equipa de segurança concluir.

3Por baixo do capôEquipas de TI1 min

O mecanismo resume-se a quatro etapas, cada uma apoiada nas fontes.

  • A falha: um defeito num componente (aqui o Struts) que a correção da Apache resolve1.
  • A entrada: a exploração de uma aplicação exposta à Internet, que permite a execução de código à distância12.
  • A instalação: uma web shell ou outro acesso duradouro3.
  • A saída: os dados deixam a rede pelo canal de comando e controlo4.

Do lado da defesa, o MITRE enumera medidas contra a exploração de uma aplicação exposta. Atualizar regularmente o software exposto. Analisar regularmente os sistemas expostos e prever procedimentos de correção rápida quando é descoberta uma falha crítica. Segmentar os servidores expostos do resto da rede. Restringir o tráfego de saída dos servidores públicos: isto não impede a exploração inicial, mas o atacante tem mais dificuldade em controlar depois o servidor comprometido2.

O NCSC recorda um ponto de fundo: todos os sistemas contêm vulnerabilidades, e uma gestão eficaz permite saber quais estão presentes e onde as atualizações falham7.

4AutópsiasCasos reais1 min

Apache Struts, março de 2017

Em 6 de março de 2017, a Apache publica o boletim S2-0451. Em 10 de março de 2017, o CERT-FR difunde o seu alerta, que indica que a falha está a ser ativamente explorada desde a publicação1. O alerta é encerrado em 10 de maio de 20171. À data do seu alerta, quatro dias depois do boletim, o CERT-FR constata, portanto, a exploração ativa da falha1.

Log4Shell, dezembro de 2021

O CERT-FR publica o seu primeiro alerta sobre o Log4j em 10 de dezembro de 20215. A biblioteca é muito utilizada em projetos Java e pelos editores de software de prateleira5. Um atacante pode provocar a execução de código à distância sem estar autenticado, por exemplo através de uma página de autenticação que regista os erros5.

Segundo informações públicas retomadas pelo aviso conjunto da CISA e dos seus parceiros, a exploração do Log4Shell começou em 1 de dezembro de 2021 ou por volta dessa data, e existe um código de exploração público6. O FBI observou tentativas de exploração e análises em massa destinadas a instalar software de mineração de criptomoeda e de botnet6. O aviso pede, em primeiro lugar, que se identifiquem os recursos em causa: inventariar todos os ativos que utilizam a biblioteca Log4j, incluindo na nuvem6.

Ficha

Identificador
CP-181
Ala
2. Malware e autópsias
Competência Brain
Comunicar incidentes (report_incidents)
Reflexo Brain
cr-031
Esquema
G4 · Cronologia do incidente (autópsia)
Idiomas
de, en, es, fr, it, nl, pt
Fontes
7 fontes verificadas em 3 de novembro de 2026
Fontes7 fontes
  1. CERT-FR (ANSSI), «Vulnérabilité dans Apache Struts», 10 de março de 2017. https://cert.cyber.gouv.fr/alerte/CERTFR-2017-ALE-004/ (consultado em 3 de novembro de 2026)
  2. MITRE ATT&CK, «Exploit Public-Facing Application». https://attack.mitre.org/techniques/T1190/ (consultado em 3 de novembro de 2026)
  3. MITRE ATT&CK, «Server Software Component: Web Shell». https://attack.mitre.org/techniques/T1505/003/ (consultado em 3 de novembro de 2026)
  4. MITRE ATT&CK, «Exfiltration Over C2 Channel». https://attack.mitre.org/techniques/T1041/ (consultado em 3 de novembro de 2026)
  5. CERT-FR (ANSSI), «[MaJ] Vulnérabilité dans Apache Log4j», 10 de dezembro de 2021. https://cert.cyber.gouv.fr/alerte/CERTFR-2021-ALE-022/ (consultado em 3 de novembro de 2026)
  6. CISA, «Mitigating Log4Shell and Other Log4j-Related Vulnerabilities». https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-356a (consultado em 3 de novembro de 2026)
  7. NCSC (Royaume-Uni), «Vulnerability management», 12 de fevereiro de 2024. https://www.ncsc.gov.uk/collection/vulnerability-management (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Autópsia da Equifax 2017», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/autopsia-equifax-struts-pt/

BibTeX 
@misc{brain_cp181_pt_2026,
  author = {Brain},
  title = {Autópsia da Equifax 2017},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/autopsia-equifax-struts-pt/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0