Atualizações e controladores: estas novas vias de acesso que os cibercriminosos exploram nos sistemas de informação

Manter os sistemas atualizados continua a ser uma das principais regras da cibersegurança. No entanto, os mecanismos concebidos para corrigir as falhas podem, eles próprios, ser deturpados. Patches falsos, cadeia de distribuição comprometida, controladores legítimos mas vulneráveis: os cibercriminosos exploram agora componentes nos quais os sistemas depositam elevada confiança. Para os diretores de sistemas de informação, a gestão de patches deve, por isso, integrar mais controlos, sem atrasar a correção das vulnerabilidades. 

Quando as atualizações se tornam, elas próprias, vetores de ciberataques

Os ataques contra a cadeia de abastecimento de software (supply chain) exploram precisamente esta relação de confiança. Ao comprometerem um editor, um prestador de serviços ou uma infraestrutura de distribuição, os atacantes podem procurar introduzir código malicioso num software ou numa atualização. O ficheiro pode então ser distribuído através de um canal que a empresa normalmente considera legítimo.

Outros ataques baseiam-se em mecanismos mais diretos. Um aviso de segurança falso, uma página que imita o site de um fabricante ou uma suposta ferramenta de atualização podem levar um utilizador a instalar um programa malicioso.

A confiança depositada num componente de software apresenta, no entanto, outra limitação: mesmo que seja autêntico e devidamente assinado, este pode conter uma vulnerabilidade explorável.

Drivers e controladores vulneráveis: uma ameaça frequentemente subestimada

Os controladores asseguram a comunicação entre o sistema operativo e os componentes de hardware. Alguns dispõem de privilégios elevados, que chegam até ao núcleo do Windows: uma falha pode, assim, permitir neutralizar as proteções do computador.

É este o princípio dos ataques «Bring Your Own Vulnerable Driver» (BYOVD). Em vez de desenvolver um controlador malicioso que correria o risco de ser bloqueado, o atacante introduz ou utiliza um controlador legítimo que contém uma falha conhecida. Este tipo de ataque ilustra os riscos associados aos componentes de software aos quais o sistema concede privilégios elevados. Lembra também a importância de uma análise de riscos que abranja todo o sistema de informação, à semelhança da abordagem defendida pela empresa Fidens by TVH Consulting, através das suas missões de auditoria, análise de riscos e governação da segurança.

Em agosto de 2025, o CERT Santé documentou esta técnica nas operações do grupo de ransomware Qilin. Os atacantes utilizavam, nomeadamente, o TPwSav.sys, um controlador da Toshiba assinado e vulnerável, para intervir ao nível do núcleo do Windows e contornar as proteções de segurança.

A multiplicação das superfícies de ataque e dos grupos cibercriminosos complica a gestão dos riscos

Os controladores representam apenas uma parte do problema. Num mesmo computador coexistem um sistema operativo, aplicações empresariais, software de segurança, controladores de periféricos e firmwares. Cada um possui o seu próprio ciclo de manutenção e pode estar sujeito a vulnerabilidades específicas.

Os atacantes exploram estas diferenças, mas também a falta de visibilidade sobre os componentes instalados. Uma vulnerabilidade conhecida num controlador antigo pode continuar presente em algumas máquinas, mesmo que a maior parte do parque de equipamentos tenha sido atualizada.

Esta complexidade depara-se com uma cibercriminalidade cada vez mais organizada. «Os grupos cibercriminosos estão hoje estruturados como verdadeiras empresas, com ferramentas, processos e especializações»,explica Laurent Galvani, especialista em cibersegurança na Fidens by TVH Consulting.

O modelo do Ransomware-as-a-Service (RaaS) ilustra esta organização: alguns intervenientes desenvolvem ou mantêm as ferramentas, enquanto outros se encarregam das intrusões e da sua exploração.

Para as empresas, o desafio consiste, portanto, em conhecer com precisão os componentes presentes nos seus equipamentos, as suas versões, as suas dependências e as vulnerabilidades a que estão expostos. Sem um inventário fiável, a gestão de correções permanecerá necessariamente incompleta.

Repensar a gestão de patches: não se limitar a atualizar, mas controlar de forma contínua

Aplicar uma correção assim que estiver disponível pode parecer a melhor proteção. Na prática, a gestão das atualizações exige um equilíbrio entre a redução do risco e a continuidade das operações.

Um controlador de rede defeituoso pode tornar um computador inacessível. Uma nova versão de firmware pode alterar o comportamento de um equipamento. Por outro lado, adiar por demasiado tempo uma correção crítica deixa uma vulnerabilidade passível de ser explorada.

Antes de qualquer implementação, a origem e a integridade dos ficheiros devem ser verificadas através dos mecanismos disponibilizados pelos fornecedores. As correções mais sensíveis podem, em seguida, ser testadas num âmbito representativo, a fim de identificar eventuais incompatibilidades.

Uma implementação progressiva permite limitar as consequências de um incidente: começando por algumas máquinas piloto, seguidas de um grupo mais alargado, antes da implementação generalizada. Esta abordagem pressupõe também prever as condições de reversão, caso uma alteração provoque um mau funcionamento.

A automatização contribui para tornar estas operações reproduzíveis, mantendo simultaneamente pontos de controlo. A importância da supervisão das infraestruturas, da verificação de desvios e da automatização das correções é também abordada numa análise que pode ser lida no Le Monde Informatique.

Automatização e supervisão: rumo a uma gestão proativa das vulnerabilidades

Uma supervisão eficaz integra o inventário de componentes, o acompanhamento das vulnerabilidades e a implementação de correções.

Um inventário atualizado permite identificar as versões presentes nos equipamentos. As informações publicadas pelos editores e pelas entidades de cibersegurança podem, em seguida, ser cruzadas com esse inventário para identificar as máquinas afetadas por uma vulnerabilidade.

Esta visibilidade facilita a definição de prioridades. Uma falha ativamente explorada num servidor exposto à Internet exige geralmente uma reação mais rápida do que uma vulnerabilidade com a mesma gravidade teórica que afete um componente isolado e não utilizado.

As ferramentas de supervisão e administração do parque de equipamentos podem automatizar parte do trabalho: deteção de versões obsoletas, acompanhamento das implementações, comunicação de erros e elaboração de relatórios de conformidade. Esta questão tem sido uma das prioridades centrais dos departamentos de TI nos últimos anos, como o site Cloudlist.fr recorda regularmente. Mas lançar uma atualização não significa que esta tenha sido instalada. Um equipamento desligado, um reinício adiado ou uma falha silenciosa podem fazer com que a vulnerabilidade persista. O acompanhamento deve, portanto, incidir sobre o estado real dos equipamentos após a intervenção.

No caso de controladores sensíveis, esta monitorização pode ser complementada por mecanismos de controlo de aplicações e de bloqueio de controladores vulneráveis, tendo em conta as suas possíveis consequências na compatibilidade do hardware.

Tornar a gestão de patches um verdadeiro pilar da governação cibernética

Uma boa gestão das atualizações não assenta apenas nas ferramentas. Exige uma política comum entre as equipas de operação, os responsáveis pela segurança e as áreas de negócio. Esta política deve, nomeadamente, especificar os prazos de correção esperados de acordo com o nível de criticidade, os procedimentos de validação, as responsabilidades e as condições que permitem adiar uma atualização. Quando uma correção não puder ser aplicada imediatamente, devem ser estudadas medidas compensatórias e o risco residual deve ser documentado.

O NIST (National Institute of Standards and Technology) enquadra, aliás, a gestão de patches numa abordagem de manutenção preventiva, que associa a identificação, a priorização, a instalação e a verificação das correções. Esta abordagem envolve os responsáveis técnicos, mas também as áreas de negócio quando as operações podem afetar a disponibilidade dos serviços.

Existem alguns indicadores que permitem monitorizar os resultados: percentagem de equipamentos atualizados, número de vulnerabilidades críticas não corrigidas, tempo médio de correção, falhas na implementação ou exceções pendentes de tratamento.

As atualizações continuam a ser indispensáveis para a segurança dos sistemas de informação. No entanto, os ataques que exploram a confiança depositada nos controlos e nos mecanismos de distribuição lembram-nos de que estas atualizações devem ser supervisionadas. A gestão do risco assenta agora na capacidade de identificar os componentes vulneráveis, implementar as correções adequadas e verificar de forma sustentável a sua eficácia.