Um problema estrutural em um protocolo de rede criado há mais de duas décadas colocou em risco a segurança de milhares de data centers e infraestruturas de inteligência artificial (IA) ao redor do mundo. O caso foi reportado em um estudo publicado pela empresa de segurança cibernética Lava na última quarta-feira (29), que identificou 36.872 interfaces de gerenciamento remoto de servidores acessíveis publicamente pela internet. Do total, 24.650 deles entregavam dados de acesso protegidos antes mesmo de o usuário concluir a verificação de identidade.
O problema central está em um recurso de autenticação antigo, lançado em 2004 e catalogado como vulnerável em 2013. Ao iniciar o processo de login, o sistema do servidor envia um código de verificação criado a partir da própria senha do usuário. Como este envio ocorre antes de checar se a pessoa realmente tem autorização, um invasor pode capturar esse código e testar combinações de senhas no próprio computador, sem precisar interagir com o servidor nem disparar os alertas de bloqueio por sucessivas tentativas erradas.
smart_display
Nossos vídeos em destaque
“Identificamos 36.872 interfaces de gerenciamento de servidores expostas na internet executando IPMI, um protocolo apresentado há mais de duas décadas para controle remoto de servidores físicos. Dos sistemas testados, 24.650 divulgaram dados de autenticação derivados de senha antes do login”, avaliou Michael Katchinskiy, pesquisador da Lava e autor do relatório “How We Hacked Thousands of Data Centers in Minutes Using a 20-Year-Old Vulnerability”.
O perigo abaixo do sistema operacional
O componente afetado é chamado de BMC: um mini-computador instalado diretamente na placa-mãe de servidores para permitir que técnicos façam manutenção à distância. Esta ferramenta opera de forma independente do sistema operacional principal e continua ativo mesmo se a máquina estiver desligada ou travada. Por meio dela, profissionais de TI conseguem reformatar o computador, atualizar sistemas, desligar a máquina ou assumir o controle total do equipamento.
Essa independência torna a invasão pelo BMC um dos cenários mais complexos para as equipes de proteção digital, uma vez que a maior parte dos programas de segurança corporativos monitora apenas o sistema operacional e os aplicativos do servidor. Como o BMC atua em um nível inferior, o invasor assume o controle da máquina sem ser detectado pelos antivírus convencionais.
O relatório alerta, portanto, que esse tipo de exposição é especialmente grave para redes de IA e serviços em nuvem. Nestes ambientes, milhares de computadores de altíssimo desempenho compartilham a mesma rede de controle. Se um criminoso assume o comando de um único BMC, ganha uma porta de entrada para se mover internamente e comprometer outros servidores da empresa.
Senhas de fábrica e padrões previsíveis
A análise revelou que mais de 30% dos dados capturados puderam ser convertidos em senhas comuns por meio de listas de palavras frequentes ou pela exploração de padrões de fábrica. Os pesquisadores da Lava encontraram 6.240 interfaces que aceitavam acessos sem nome de usuário com senhas fracas, além de 2.340 sistemas com contas administrativas padrão cujas senhas já eram públicas em vazamentos antigos.
Ao portal Hackread.com, Mark Stockley, especialista em cibersegurança da ThreatDown, ressaltou a complicação logística desse tipo de falha. “A segurança do BMC é difícil de gerenciar porque os controladores são integrados às placas-mãe, os procedimentos de atualização diferem entre os fabricantes e a manutenção pode interromper o acesso remoto a sistemas importantes”, afirmou.
Stockley notou ainda que, por se tratar de um defeito no protocolo de comunicação, e não em um programa específico, os administradores de rede não dispõem de uma atualização de software única capaz de corrigir todas as máquinas do mercado de uma só vez.
Mesmo empresas que criaram senhas individuais de fábrica continuam vulneráveis a esse tipo de ataque. A Supermicro, por exemplo, passou a imprimir senhas de dez letras maiúsculas em um adesivo colado no próprio equipamento. Embora o formato gere 141 trilhões de combinações possíveis, os computadores modernos dedicados à quebra de código conseguem testar todas as opções em ritmo acelerado.
“Em um servidor moderno equipado com oito placas de vídeo dedicadas, todo o universo de senhas possíveis poderia ser testado em aproximadamente uma hora”, reforçou Michael Katchinskiy, autor do levantamento.
)
Durante um teste autorizado em uma empresa de servidores para inteligência artificial nos Estados Unidos, a equipe da Lava levou apenas minutos para descobrir a senha de fábrica de duas máquinas fabricadas em 2023. Em testes no próprio laboratório com equipamentos da marca HPE, cujas senhas padrão combinam oito letras e números, o tempo de descoberta caiu para cerca de 32 segundos.
Os pesquisadores encontraram até mesmo a tela de entrada de um servidor exposto que exibia uma mensagem de chantagem cobrando um resgate em Bitcoin; um sinal de que cibercriminosos já exploram ativamente essa brecha.
Isolamento dos equipamentos da internet
Diante da impossibilidade de corrigir a falha apenas com um programa de atualização, especialistas da Lava e fabricantes como a Supermicro recomendam retirar totalmente essas interfaces de gerenciamento da internet pública.
A orientação técnica das equipes de segurança é fechar as portas de conexão externa dos equipamentos e isolar os BMCs dentro de redes internas restritas. O acesso deve ser permitido exclusivamente por meio de conexões criptografadas privadas (VPNs) e sistemas de autenticação intermediários.
As empresas também devem trocar imediatamente qualquer senha vinda de fábrica e desativar opções antigas de acesso sem identificação.