ColCERT alerta sobre rede ORB3 CHARLIE

Linha do tempo da operação

Cadeia de ataque e TTPs

A sequência técnica descrita pelo ColCERT começa com um comprometimento inicial de servidores expostos à Internet. Esse ponto é relevante porque não fala de intrusões oportunistas isoladas, e sim de uma etapa de acesso inicial que abre caminho para uma cadeia mais ampla. A alerta vincula esse primeiro passo à técnica T1190, Exploit Public Facing Application, que o MITRE ATT&CK define para exploração de aplicações ou serviços expostos. Na prática, a alerta não lista uma vulnerabilidade específica por caso, mas estabelece o padrão: os atores partem de superfícies públicas e depois usam a infraestrutura ORB3 para aprofundar o acesso.

A partir daí, a operação avança com varreduras massivas e ataques de força bruta contra SSH, PostgreSQL e Apache Tomcat. O ColCERT atribui esse comportamento à BruteEntry, uma ferramenta desenvolvida em Go. A leitura ATT&CK que acompanha essa fase se apoia em T1046, Network Service Scanning, e em T1110, Brute Force. A primeira cobre o reconhecimento ativo de serviços de rede. A segunda, as tentativas repetidas e em grande volume de autenticação. O encadeamento dessas duas técnicas explica por que a alerta insiste em contas privilegiadas, acesso administrativo e serviços expostos como pontos de maior exposição.

O modo de operação da BruteEntry é especialmente bem detalhado. Não se trata apenas de testar credenciais. Segundo o ColCERT, a ferramenta explora serviços em massa, identifica credenciais válidas ou serviços vulneráveis e reporta automaticamente o achado em formato JSON para a infraestrutura de comando e controle. Esse detalhe é importante porque conecta a automação do reconhecimento ao ciclo de exploração. A mensagem JSON não é um artefato decorativo, é o mecanismo que centraliza resultados, coordena a próxima ação e permite manter um plano unificado de intrusões.

O ColCERT também coloca a rede ORB3 como canal para esse tráfego de comando e controle. A alerta a descreve como um proxy multi hop que oculta a origem real dos acessos, da força bruta e do C2. O MITRE ATT&CK cobre isso com T1071, Application Layer Protocol, já que a comunicação de controle pode se misturar com protocolos de camada de aplicação como HTTP ou HTTPS. A alerta menciona ainda certificados SSL ou TLS genéricos, reutilizados e de validade estendida, o que reforça o valor dessa camada de camuflagem.

No plano de host, o ColCERT cita como possível indicador de comprometimento o processo wsprint.exe carregando DLLs não assinadas a partir de C:\ProgramData. Isso se encaixa em T1036, Masquerading, porque o uso de nomes plausíveis para processos ou arquivos pode confundir com componentes legítimos. O MITRE define essa técnica como o emprego de nomes ou locais que imitam elementos reais do sistema. O valor desse achado na alerta é duplo. De um lado, cria um padrão de hunting em endpoints Windows. De outro, oferece um sinal de correlação com o restante da cadeia, sobretudo se o host também mostrar conexões de saída associadas aos nós ORB3 ou atividade incomum em credenciais.

A operação não depende de um único vetor nem de uma só família de ferramentas. O ColCERT acrescenta backdoors exclusivos, TernDoor para Windows e PeerTime para Linux ou IoT ELF. Essa coexistência sugere um conjunto de ferramentas pensado para persistir em ambientes heterogêneos de telecomunicações e infraestrutura crítica. A presença dos dois implantes, somada à BruteEntry, indica uma divisão funcional bastante clara: acesso e exploração de um lado, persistência e controle do outro.

Impacto regional

A alerta é regional por desenho e por evidência. O ColCERT não a limita a um país, mas a posiciona sobre um corredor sul-americano de alvos ligados a telecomunicações e infraestrutura crítica. O alcance material mais sólido está em Colômbia, Chile, Peru, Argentina, Brasil e Venezuela. A prioridade da campanha, segundo o documento, existe desde 2024 e se sustenta em operadoras de telecom, provedores de comunicação e ambientes de infraestrutura OT expostos ou mal segmentados.

Panorama regional

O padrão regional combina três elementos. Primeiro, um vetor de comprometimento inicial sobre servidores expostos. Segundo, uma camada de exploração e força bruta apoiada na automação da BruteEntry. Terceiro, uma rede ORB multi hop que oculta a procedência do tráfego e centraliza os resultados. Essa combinação torna o problema mais parecido com uma campanha sistemática de preparo de acessos do que com uma série de intrusões isoladas. Em telecomunicações, isso pode se traduzir em acesso a consoles de gestão, credenciais reutilizadas, pivoteamento para ambientes de supervisão e observação de metadados de rede ou rotas de comunicação críticas.

O ColCERT também amplia o risco para setores de infraestrutura crítica nacional. Energia, abastecimento de água e transporte aparecem como alvos potenciais sempre que suas redes OT estejam expostas ou segmentadas de forma deficiente. A implicação operacional é direta. Uma rede OT mal isolada, com acessos administrativos frágeis e superfície de administração visível da Internet ou de segmentos excessivamente amplos, pode virar um ponto de expansão para atores que já operam com capacidade de reconhecimento, acesso e persistência.

O perfil do ator traçado pelo ColCERT é o de ciberespionagem estatal voltada a inteligência militar, diplomática e de telecomunicações, com interesse em metadados de rede e rotas críticas de comunicação. Isso explica por que o documento insiste no isolamento do plano de administração, na segmentação forte e na redução do tráfego de saída a partir de hosts comprometidos. Neste caso, o objetivo não parece ser apenas a intrusão visível. Também importa a capacidade de observar, catalogar e manter presença por períodos relativamente curtos, porém repetidos, compatíveis com uma infraestrutura que troca nós a cada poucas semanas.

Colômbia

A Colômbia aparece expressamente como alvo prioritário desde 2024. O ColCERT a inclui junto com Chile, Peru, Argentina, Brasil e Venezuela dentro da victimologia da campanha ORB3, e também a menciona na seção de mitigação e monitoramento. O risco para a Colômbia se concentra em operadoras de telecomunicações, provedores de comunicação e, por extensão, infraestrutura crítica com conectividade mal segmentada. A alerta enumera acesso inicial por servidores expostos, varredura massiva, força bruta, reporte JSON ao C2, certificados SSL ou TLS genéricos e o processo wsprint.exe como peças a observar em ambientes locais.

A relevância da Colômbia também aparece na recomendação tática de monitorar atividade originada do bloco 103.97.203.0/24. O ColCERT sugere observar e, se necessário, bloquear atividade de varredura ou força bruta vinda dali. Para equipes de defesa, isso significa que a telemetria de rede e o registro de autenticação devem ser cruzados com listas de origem, padrões de falha de login e sinais de administração anômala. O risco não termina no IP de saída. Inclui credenciais comprometidas, consoles web expostas e eventual uso de backdoors em Windows, Linux ou IoT.

Chile

O Chile aparece na alerta como um dos países-alvo da operação suportada por ORB3. O ColCERT diz que operadoras de telecomunicações e provedores de comunicação na América do Sul, incluindo os chilenos, enfrentam risco ALTO. O texto associa o país à mesma cadeia de ataque observada no restante da região. Isso implica comprometimento inicial de serviços expostos, varredura e força bruta sobre SSH, PostgreSQL e Tomcat, além do reporte automatizado em JSON e do uso de certificados genéricos para mimetizar o tráfego.

A referência ao Chile adiciona um detalhe geográfico relevante. O ColCERT atribui a ofuscação da rede ORB3 à terceirização de nós na Índia, associados ao ASN 136258, o que ajuda a esconder a origem real da atividade. Para o leitor técnico, isso quer dizer que uma conexão aparentemente remota a partir de um terceiro não invalida a hipótese de uma campanha de espionagem voltada à América do Sul. Ao contrário, pode fazer parte do desenho de ocultação.

Argentina

A Argentina figura explicitamente na victimologia regional da alerta. O ColCERT a inclui entre os países atacados desde 2024 pela campanha associada a ORB3, junto com Colômbia, Chile, Peru, Brasil e Venezuela. A fonte também a incorpora ao explicar que a infraestrutura foi usada para comprometer operadoras de telecomunicações e provedores de comunicação na América do Sul.

A contribuição mais concreta para a Argentina está na rastreabilidade da cadeia de ataque. A alerta descreve comprometimentos iniciais de servidores expostos na Internet, seguidos de varreduras massivas e força bruta sobre SSH, PostgreSQL e Apache Tomcat, com reporte JSON ao C2. Também menciona certificados SSL ou TLS genéricos, reutilizados e com campos como C=US,CN=SERVER e C=US,CN=CA, além do processo wsprint.exe carregando DLLs não assinadas a partir de C:\ProgramData. Tudo isso se traduz em hipóteses de hunting bastante claras para ambientes de telecom e críticos na Argentina.

Brasil

O Brasil está incluído entre os países afetados e também aparece de forma particular em uma das ampliações do material. O ColCERT menciona que os atores que abusam da rede ORB3 usam exploits de dia zero em dispositivos de borda e manipulação de firmware de roteadores como parte das técnicas contra a infraestrutura de comunicações nos países afetados, entre eles o Brasil. Essa menção eleva o nível de sofisticação atribuído à operação, porque vai além do acesso por credenciais ou da varredura automatizada.

Para o Brasil, o risco setorial continua sendo telecomunicações, com operadoras móveis, provedores de internet banda larga, fibra e backhaul, mas a alerta também amplia a exposição para energia, abastecimento de água e transporte com OT mal segmentada. Se a operação conseguir pivoteamento para infraestrutura de comunicações ou equipamento de borda, a superfície potencial de impacto fica maior do que a de uma intrusão isolada em contas.

Estados Unidos, México, Paraguai, Bolívia e Peru

Não há fatos verificáveis adicionais no material para desenvolver subseções separadas sobre México, Estados Unidos, Paraguai, Bolívia ou Peru além da menção a Peru dentro do conjunto regional afetado. O corpo de evidências disponível permite afirmar que o Peru integra a lista de países-alvo desde 2024, mas não traz nível adicional de detalhe país a país.

Indicadores técnicos

A ausência de hashes, domínios, URLs operacionais ou nomes de arquivo adicionais no material limita a construção de uma lista de IOCs mais ampla. O valor técnico do relatório está concentrado em infraestrutura, processos e portas observáveis, não em artefatos de malware individualizados.

Análise para equipes de segurança

A prioridade imediata para telecomunicações e infraestrutura crítica é tratar essa campanha como uma combinação de intrusão de acesso inicial, abuso de credenciais e persistência transversal em vários sistemas operacionais. A sequência descrita pelo ColCERT sugere que o primeiro ponto a vigiar são os servidores expostos à Internet. Se um host público começar a mostrar tráfego de varredura, tentativas massivas de autenticação ou conexões de saída para nós associados a 103.97.203.0/24, o incidente deve ser escalado imediatamente.

Na detecção de rede, vale correlacionar tentativas repetidas em SSH, PostgreSQL e Tomcat com padrões de saída incomuns para infraestrutura de nuvem ou para nós com certificados SSL ou TLS genéricos e reutilizados. O reporte automático em JSON para C2 é outro ponto útil. Não é preciso conhecer o formato exato da mensagem para perceber a lógica: eventos de exploração e credenciais válidas disparados em bloco, com intervalos curtos entre o achado e a comunicação. Se essa telemetria coincidir com proxies multi hop ou com tráfego encapsulado em HTTPS, o contexto ganha peso.

No hunting em endpoint, wsprint.exe merece revisão prioritária quando carrega DLLs não assinadas a partir de C:\ProgramData. A alerta o trata como indicador potencial de comprometimento, e esse indicador deve ser analisado junto com a presença de backdoors como TernDoor ou PeerTime, se houver meios de validação por EDR, inventário ou forense. No Windows, a combinação de nome de processo aparentemente legítimo, bibliotecas não assinadas e atividade de rede associada à campanha oferece uma hipótese de mascaramento bastante consistente.

A defesa também depende da arquitetura. O ColCERT insiste em Zero Trust, segmentação rígida do plano de administração e isolamento de OT. Isso não é enfeite. Se a rede administrativa compartilha caminhos com o tráfego de usuários ou produção, a força bruta sobre credenciais privilegiadas pode escalar. Se a OT recebe conectividade ampla demais, os atores podem usar essa entrada para pivotar e observar rotas, configurações e metadados de comunicação crítica. MFA resistente a phishing reduz a utilidade de credenciais obtidas por força bruta ou reutilização. Mas precisa ser aplicada em contas privilegiadas reais, não só em acessos periféricos.

A gestão de saída também é central. O ColCERT recomenda bloquear ou restringir ao máximo as conexões de saída a partir de hosts comprometidos ou de alto risco. Isso tem utilidade direta contra o uso da rede ORB3 como canal de C2 e exfiltração. Se um servidor de telecom ou de infraestrutura crítica perde o controle do seu tráfego de saída, a operação pode usá-lo como plataforma de ataque contra terceiros ou como repetidor para outras intrusões. Limitar essa saída reduz tanto a persistência quanto a capacidade de salto.

Na priorização operacional, a ordem lógica é a seguinte. Primeiro, inventariar ativos expostos e verificar se alguma interface pública coincide com a classe de servidor atacada na alerta. Segundo, buscar telemetria de autenticação e reconhecimento sobre SSH, PostgreSQL e Tomcat. Terceiro, revisar processos Windows com wsprint.exe e DLLs não assinadas a partir de C:\ProgramData. Quarto, auditar certificados internos e verificar se há uso de SSL ou TLS genéricos, reutilizados e de validade incomum. Quinto, revisar a segmentação entre administração, produção e OT, especialmente em energia, abastecimento de água e transporte.

Para centros de monitoramento, o indicador do bloco 103.97.203.0/24 deve ser integrado como gatilho, não como prova única. O valor dessa rede é alto porque o ColCERT a vincula de forma confirmada à infraestrutura. Ainda assim, o material deixa claro que a rotação de nós é rápida. Por isso, a detecção não deve depender de um único IP, mas da combinação entre comportamento, portas-alvo, artefatos de host, certificados e modelagem de tráfego.

Limitações do material

A investigação se limita à alerta técnica do ColCERT, à referência pública da Team Cymru sobre 16 IPs ativas e às definições ATT&CK do MITRE citadas no material. Não há hashes, domínios adicionais, amostras de malware, regras YARA nem nomes de campanhas anteriores além de UAT 9244. Também não existe no research uma lista exaustiva de vítimas por país, datas exatas de intrusão nem detalhe de exploração por vulnerabilidade específica.

A atribuição também tem uma margem de cautela. O ColCERT descreve os atores como cibercriminosos de espionagem alinhados à República Popular da China e atribui a operação a grupos como APT5, APT15, Famous Sparrow e Tropic Trooper. Essa vinculação vem da fonte e deve ser mantida com o mesmo nível de precisão, sem expandi-la para uma atribuição estatal direta que o material não formula dessa forma.

Na parte geográfica, o material permite desenvolver com mais profundidade Colômbia, Chile, Argentina e Brasil. Para Peru, Venezuela, Paraguai, Bolívia, México e Estados Unidos não há evidência adicional verificável no corpus fornecido além de menções gerais ou, em alguns casos, ausência total de dados específicos. Por isso não se inclui uma avaliação país por país equivalente para esses casos.