ColCERT alerta sobre rede CHARLIE

ColCERT publicou a Alerta da Rede de Retransmissão Operativa CHARLIE, identificada como 102, e chamou atenção para o uso dessa rede por APT5 e APT15 em ataques contra operadoras de telecomunicações e provedores de comunicação na América do Sul, incluindo infraestrutura na Colômbia.

Escopo da alerta

Segundo o aviso, a atividade observada não se restringe a um único perfil de operador. O ColCERT informou que a rede associada a APT5 e APT15 já foi usada para comprometer operadoras móveis, provedores de internet banda larga, operadoras de fibra óptica e infraestrutura de backhaul dentro do setor regional de telecomunicações. Nesse contexto, pediu que entidades colombianas do setor adotem medidas específicas de mitigação em suas redes.

O que o ColCERT recomenda

A alerta 102 orienta a segmentar o plano de administração e evitar que a gestão da rede fique exposta à WAN. Também recomenda usar canais seguros e isolados, ou acesso local, para administrar equipamentos afetados pela atividade da rede de retransmissão operativa.

O ColCERT também aponta que essa rede funciona como um canal encoberto para operações táticas dos atores vinculados e, por isso, sugere controles de identidade e acesso baseados em Zero Trust. Entre as medidas, inclui autenticação multifator resistente a phishing, como FIDO2 ou chaves de segurança físicas, para todos os usuários com acesso à infraestrutura de telecomunicações.

Indicadores técnicos observados

A análise técnica incluída na alerta descreve ao menos 16 nós confirmados ativos dentro da rede CHARLIE, também chamada ORB3. Segundo o ColCERT, depois que um servidor exposto é comprometido, ele inicia varreduras massivas de força bruta contra serviços SSH na porta TCP/22, PostgreSQL na TCP/5432 e Apache Tomcat na TCP/8080. As invasões bem-sucedidas são reportadas automaticamente ao servidor de comando e controle em formato JSON.

O documento acrescenta que os nós de CHARLIE/ORB3 abusam de infraestrutura hospedada em provedores de nuvem e hosting como Tencent Cloud, Vultr, BrainStorm Network e Industries. Para operadores colombianos, a recomendação é revisar acessos administrativos vindos desses provedores quando eles não coincidirem com o perfil geográfico habitual do usuário.

Como indicador específico de comprometimento, o ColCERT informa que os nós reutilizam certificados SSL genéricos com Subject ou Issuer C=US, CN=SERVER e C=US, CN=CA. A entidade também alerta que esses certificados podem ter períodos de validade anômalos, superiores a 10 anos, com exemplos de 2022 a 2042, em conexões HTTPS para faixas de IP não habituais. Esse padrão é apresentado como um IOC concreto para monitoramento e detecção em redes colombianas.