Por Michael Rothschild // Michael Freeman
22 de outubro de 2025
Quando uma empresa que ajuda a proteger aplicações é comprometida, as implicações vão muito além de um único fornecedor. Essa é a realidade enfrentada por milhares de organizações nesta semana, após a F5 divulgar uma violação em seus sistemas de desenvolvimento do BIG-IP. Os invasores, supostamente um grupo com vínculos na China conhecido como UNC5221, obtiveram acesso prolongado aos ambientes internos de desenvolvimento e engenharia da F5, roubando código-fonte, pesquisas de vulnerabilidades e dados de configuração de clientes.
O Que Sabemos Até Agora
Segundo a F5, a violação foi descoberta em 9 de agosto, após o que parece ter sido uma intrusão de meses em seus sistemas internos. Embora revisões independentes tenham confirmado que as versões liberadas do BIG-IP são seguras para implantação, foi observado que o código-fonte roubado pode acelerar a descoberta de novas vulnerabilidades.
Esse incidente destaca um padrão preocupante. Pesquisas da Sygnia e da Armis Labs mostram que os comprometimentos de ambientes de desenvolvimento e CI/CD triplicaram nos últimos 18 meses, tornando-se um vetor de ataque cada vez mais explorado em operações patrocinadas por Estados-nação.
O Impacto
Os sistemas F5 estão posicionados diante de aplicações críticas, incluindo portais web, gateways de VPN e frentes de autenticação. Essa posição os torna alvos de alto valor. Como aponta a pesquisa da Armis, os appliances de borda tornaram-se o principal ponto de acesso inicial em campanhas de ataque modernas, superando os métodos tradicionais baseados em e-mail. Os invasores exploram cada vez mais interfaces de gerenciamento deixadas abertas ou sem correção.
O Que os Invasores Provavelmente Obtiveram
Com base nas informações disponíveis, este não foi um comprometimento de cadeia de suprimentos de software como o caso SolarWinds. Em vez disso, os atacantes tiveram acesso a dados internos de vulnerabilidade, código-fonte e detalhes de configuração de um número limitado de clientes. Esse conhecimento roubado tem valor estratégico: com acesso a informações sobre falhas ainda não divulgadas, os invasores podem criar provas de conceito mais rapidamente do que os defensores conseguem corrigir. Na prática, o tempo entre “divulgação” e “exploração” acabou de encolher — e com ferramentas assistidas por IA, essa lacuna está se reduzindo de semanas para dias, ou até horas.
Ações Práticas para Clientes da F5
Aqui estão cinco medidas defensivas essenciais que as equipes de segurança devem adotar agora, baseadas nas orientações de campo da Sygnia e nas pesquisas de gestão de exposição da Armis Labs:
- Bloqueie Dispositivos de Borda
- Confirme que interfaces de gerenciamento não estão expostas à internet.
- Use jump hosts ou ferramentas de gerenciamento de acesso privilegiado (PAM) para todas as conexões administrativas.
- Restrinja o tráfego de saída e bloqueie egressos genéricos de DNS ou HTTP a partir de dispositivos BIG-IP.
- Monitore deriva de configuração, novos serviços ou acessos SSH não autorizados.
- Aplique Patches Imediatamente
- A F5 lançou atualizações em toda a sua linha de produtos. Aplique todas sem demora.
- Para sistemas que não podem ser atualizados rapidamente, implemente correções virtuais e controles de segmentação de rede e/ou microsegmentação de dispositivos para reduzir a exposição.
- Reforce Sua Cadeia de Suprimentos
- Mantenha um inventário preciso de ativos e um SBOM (Software Bill of Materials) para todos os sistemas críticos.
- Trate o risco de terceiros como um risco operacional central, não apenas uma exigência de conformidade.
- Procure por Persistência
- O grupo UNC5221 é conhecido por longos períodos de permanência e pelo uso do backdoor BRICKSTORM em appliances e camadas de virtualização.
- Conduza buscas direcionadas por anomalias em dispositivos de borda, vCenter e sistemas de desenvolvedores que possam indicar persistência ou movimento lateral.
- Aplique Princípios de CEM
- A abordagem de Cyber Exposure Management (CEM) da Armis ajuda as organizações a fechar lacunas de risco por meio de avaliação, priorização e validação contínuas.
- Com o CEM, as equipes podem:
- Identificar todos os ativos relacionados à F5 e à borda em TI, OT e nuvem.
- Priorizar com base em explorabilidade e impacto nos negócios.
- Automatizar fluxos de remediação para reduzir o risco em horas, em vez de semanas, após a divulgação.
O Valor da Parceria: Armis e Sygnia
A Armis e a Sygnia estão oferecendo em conjunto um engajamento focado para ajudar as organizações a compreender e mitigar rapidamente sua exposição a esta violação.
A oferta inclui serviços que:
- Abordam Proativamente o Risco F5: Clientes Armis, após integração bem-sucedida com a Sygnia, recebem gratuitamente um retentor de Resposta a Incidentes (IR) de 3 meses, pronto para acionamento imediato em resposta à violação da F5.
- Garantem Prontidão “Antes da Explosão” (Left of Boom): O retentor gratuito inclui a integração pré-incidente essencial, permitindo que a equipe da Sygnia compreenda o ambiente do cliente antes de uma crise.
- Asseguram Acesso “Após a Explosão” (Right of Boom): Esse retentor elimina taxas de acesso e garante resposta com SLA definido. Quando um incidente ocorre, o cliente aciona um serviço pré-aprovado e paga apenas pelas horas de resposta utilizadas.
- Aprimoram Capacidades de IR: Uma solução ideal para clientes que precisam de uma força de resposta especializada imediata, oferecendo uma rede de segurança crítica enquanto mitigam a exposição à F5.
Juntas, Armis e Sygnia combinam visibilidade em tempo real com expertise avançada em resposta a incidentes, transformando visibilidade em resiliência.
Próximos Passos
Este não é um momento para alarmismo, mas sim um lembrete de que esperança não é estratégia e confiança não é controle. Mesmo os fornecedores de segurança mais sofisticados podem ser alvos — e violações como esta mostram por que visibilidade, segurança e velocidade devem definir a defesa cibernética moderna.
Como disse um pesquisador sênior da Armis:
“A questão não é se seus fornecedores serão atacados, mas se você saberá qual é sua exposição antes que os invasores saibam.”Quer entender como a sua organização pode detectar e responder a ameaças antes que causem impacto real?
Experimente o poder da Armis em ação, solicite uma demonstração gratuita com a equipe da cybergate.solutions e descubra como ter visibilidade completa, controle inteligente e resposta rápida em todo o seu ambiente digital.