Iranian hackers usaram credenciais roubadas via malware.

Uma análise da Cisco Talos sobre a violação de dados da Stryker, divulgada em março de 2026, aponta para um vetor de ataque clássico, porém persistentemente eficaz: o uso de credenciais roubadas por malware. A investigação sugere que o grupo de hackers patrocinado pelo estado iraniano, conhecido como MuddyWater, provavelmente obteve acesso inicial à rede da empresa de tecnologia médica através de credenciais comprometidas, destacando a contínua eficácia do roubo de credenciais como ponto de entrada para operações de espionagem avançada.

A Sequência do Ataque e a Pista do Malware

O Talos Intelligence rastreou a atividade do MuddyWater contra a Stryker até pelo menos dezembro de 2025. A hipótese principal é que as credenciais usadas para o acesso inicial foram previamente coletadas por um malware de roubo de informações, como um infostealer. Esse tipo de malware, frequentemente distribuído via e-mails de phishing ou sites comprometidos, varre sistemas infectados em busca de cookies de navegador, senhas salvas e arquivos de configuração de aplicativos como clientes de e-mail e FTP.

Uma vez de posse de credenciais válidas, os atacantes contornaram controles de autenticação multifator (MFA) que dependiam de sessões persistentes de cookies ou utilizaram credenciais de serviços que não possuíam MFA habilitado. Esse acesso inicial, aparentemente legítimo, permitiu que os agentes de ameaça estabelecessem uma posição dentro da rede sem a necessidade de explorar vulnerabilidades de dia zero ou técnicas de intrusão de alto ruído.

Táticas, Técnicas e Procedimentos (TTPs) do MuddyWater

Dentro do ambiente, os atacantes empregaram TTPs consistentes com o histórico do MuddyWater, também conhecido como TA450 ou Earth Vetala. A atividade incluiu:

• Movimento Lateral com Ferramentas Nativas: Uso extensivo de comandos PowerShell e Windows Management Instrumentation (WMI) para descobrir hosts na rede, enumerar usuários e grupos, e mover-se lateralmente entre sistemas.
• Implantação de Backdoors Customizados: Utilização de ferramentas como “Canopy” (ou “Starwhale”), um implantador de malware modular escrito em Go que funciona como um backdoor de acesso remoto (RAT) e um dropper para cargas úteis secundárias.
• Evidência de Coleta de Dados: A presença de ferramentas de arquivamento (como 7-Zip) e scripts para listar e compactar arquivos de diretórios específicos indica uma fase de coleta e preparação de dados para exfiltração.

O objetivo final, de acordo com a análise, era a espionagem, alinhando-se com os interesses geopolíticos e de inteligência do Irã, potencialmente visando propriedade intelectual relacionada a dispositivos médicos.

Lições Técnicas e Recomendações de Mitigação

O caso da Stryker reforça a necessidade de uma defesa em profundidade que vá além da dependência exclusiva do MFA. As recomendações técnicas incluem:

• Gestão Robusta de Credenciais e Session Hardening: Implementar políticas que limitem a validade de cookies de sessão e tokens, forçando reautenticações periódicas. Monitorar logins de credenciais válidas a partir de localizações geográficas ou dispositivos incomuns.
• Proteção Endpoint Contra Infostealers: Utilizar soluções de segurança endpoint (EDR/EPP) com capacidade de detectar comportamentos típicos de malware de roubo de informações, como acesso a processos de navegador e leitura de arquivos de credenciais específicos.
• Segmentação de Rede e Monitoramento de Tráfego Leste-Oeste: Aplicar microssegmentação para conter o movimento lateral, limitando a comunicação entre sistemas com base em necessidades operacionais mínimas. Monitorar tráfego interno anômalo, como conexões SMB ou RDP entre hosts que normalmente não se comunicam.
• Análise de Comportamento de Usuário e Entidade (UEBA): Implementar ferramentas que estabeleçam uma linha de base do comportamento normal de usuários e contas de serviço, alertando para atividades como acesso a um volume incomum de arquivos, execução de PowerShell em horários atípicos ou tentativas de desabilitar logs.

“The initial access in this incident likely did not involve a flashy zero-day exploit, but rather the silent theft of credentials via commonplace malware. This underscores that defending against advanced persistent threats requires equal focus on blocking fundamental attack vectors.”

A violação serve como um lembrete contundente de que grupos patrocinados por estados-nação continuam a se aproveitar de brechas básicas de segurança. A sofisticação de suas operações reside menos no vetor de entrada e mais na persistência, evasão e profundidade de suas atividades pós-exploração dentro de ambientes comprometidos.

Análise baseada em informações do Talos Intelligence e cobertura da SecurityWeek (18/03/2026). Pesquisa e adaptação: N00TROP1C — NULLTROPIC, 2026.