ColCERT alerta sobre rede ORB3 ativa

ColCERT detecta rede ORB3, SPACEHOP e CHARLIE ativa na Colômbia

Em 10 de julho de 2026, o ColCERT publicou a Alerta 102, intitulada "Alerta Red de Retransmisión Operativa CHARLIE", na qual informa ter identificado ao menos 16 nós confirmados de uma rede ORB3, SPACEHOP e CHARLIE. Segundo o aviso, essa infraestrutura realiza varreduras e ataques massivos de força bruta contra serviços SSH na porta TCP/22, PostgreSQL na TCP/5432 e Apache Tomcat na TCP/8080, usando o binário BruteEntry, escrito em Go.

A alerta também indica que o BruteEntry é instalado em servidores de borda comprometidos de empresas de telecomunicações na Colômbia. Uma vez em execução, ele se registra em um servidor C2 identificado como UAT-9244 e solicita lotes de até 1.000 endereços IP-alvo para iniciar ataques de força bruta contra serviços expostos.

O ColCERT recomendou que organizações colombianas bloqueiem a saída de rede dos hosts comprometidos, acionem processos de resposta a incidentes e busquem, de forma específica em hosts Windows, o processo wsprint.exe carregando DLLs não assinadas a partir de C:\ProgramData\, como possível indicador de comprometimento associado à rede de retransmissão ORB3 e CHARLIE.

A mesma alerta afirma que os nós reutilizam certificados SSL genéricos com Subject e Issuer C=US, CN=SERVER e C=US, CN=CA. Também chama atenção para certificados com validade superior a 10 anos, por exemplo de 2022 a 2042, em conexões HTTPS para faixas de IP não reconhecidas como possível indicador de infraestrutura maliciosa.

ColdFusion, sob exploração ativa

Em 7 de julho de 2026, o INCIBE-CERT publicou a alerta crítica INCIBE-2026-473 sobre a CVE-2026-48282, uma vulnerabilidade de path traversal no Adobe ColdFusion que permite execução remota de código sem interação do usuário em servidores ColdFusion 2025 e 2023 afetados. De acordo com o comunicado, o problema vem de uma limitação incorreta do caminho de acesso a um diretório restrito, o que permite enviar requisições manipuladas para ler arquivos arbitrários e, por fim, executar código remoto no contexto do usuário atual do servidor.

O INCIBE-CERT afirmou ainda que a vulnerabilidade está sendo explorada ativamente e que a exploração não exige interação da vítima. Segundo o órgão, isso pode levar a escalada de privilégios e à contorna de mecanismos de segurança nas plataformas afetadas.

As versões afetadas são ColdFusion 2025 até a atualização 9, inclusive, e ColdFusion 2023 até a atualização 20. A Adobe publicou correções no ColdFusion 2025 Update 10 e no ColdFusion 2023 Update 21 como solução completa. O INCIBE-CERT recomendou aplicar essas atualizações com urgência, revisar os registros em busca de possíveis comprometimentos anteriores e, se não for possível corrigir imediatamente, adotar segmentação de rede, restringir o acesso ao painel de administração e intensificar o monitoramento das conexões de entrada.

A Adobe também confirmou que a CVE-2026-48282 estava sendo explorada em ataques limitados contra o Adobe ColdFusion. O boletim APSB26-68 acrescenta que o ColdFusion 2025 Update 9 e anteriores, e o ColdFusion 2023 Update 20 e anteriores, estão afetados. A Akamai descreveu a falha como um path traversal no controlador RDS FILEIO exposto pelo endpoint /CFIDE/main/ide.cfm?ACTION=FILEIO, com capacidade para permitir acesso não autorizado a arquivos e execução remota de código.

Outras alertas na região

A ECUCERT publicou em julho de 2026 a alerta Al-2026-0036 sobre o ransomware Wallstreet, descrito como um agente de dupla extorsão que criptografa sistemas e ameaça vazar dados comprometidos para aumentar a pressão sobre as vítimas. O órgão recomendou medidas de endurecimento e monitoramento para organizações no Equador.

Na mesma alerta, a ECUCERT afirma de forma não confirmada que o grupo pode estar explorando vulnerabilidades conhecidas e falta de correções para obter acesso inicial a redes corporativas, embora não tenha listado CVEs específicos explorados. Em paralelo, o Help Net Security informou que a CISA adicionou a CVE-2026-48282 ao catálogo de Known Exploited Vulnerabilities e determinou que agências civis federais dos Estados Unidos a remediem até 10 de julho de 2026. A cobertura também indicou que o exploit exige que o RDS esteja habilitado no servidor ColdFusion e que a autenticação para RDS esteja desativada.