Provedor invadido: causas, diagnóstico e quando chamar um Especialista

O que significa ter o provedor invadido?

Ter o provedor invadido é ter alguém de fora com acesso a equipamentos ou sistemas da rede, como borda, concentrador, OLT, RADIUS ou sistema de gestão. O problema não acaba quando o sintoma visível some, porque o invasor costuma deixar outra forma de voltar.

Na rede de um provedor regional, a invasão raramente começa com um ataque sofisticado. O mais comum é um robô varrendo a internet atrás de equipamentos com a gerência aberta, testando senhas conhecidas e explorando versões antigas de sistema. Quando acha uma porta, entra, cria um acesso próprio e passa a usar o equipamento.

Por isso a primeira hora pesa tanto. A resposta a incidentes de segurança para provedores existe para conter, investigar e limpar nessa ordem, sem destruir o que mostra por onde o invasor entrou. Se a equipe já perdeu o acesso a um equipamento de borda, o caminho mais curto é o suporte de emergência.

O alcance varia muito. Às vezes o invasor só usa o roteador para mandar spam ou atacar outras redes; em outras, altera rotas, desvia tráfego ou chega à base de clientes do sistema de gestão, e aí entram os avisos obrigatórios.

Sinais que aparecem nos equipamentos e nos registros

Os sinais abaixo são os que mais aparecem quando alguém de fora está mexendo na rede. Anote cada um com data, hora e equipamento antes de corrigir qualquer coisa.

Reclamação de abuso costuma vir junto com IP bloqueado em listas públicas. O guia sobre IP do provedor em blacklist mostra como conferir e pedir a retirada depois que a origem foi fechada.

Provedor invadido: causas em ordem de probabilidade

A causa mais comum de provedor invadido é senha fraca ou de fábrica num equipamento com a gerência aberta para a internet. Depois vêm sistema sem atualização, senha vazada e acessos esquecidos de quem já saiu.

A lista segue a ordem do que mais aparece em provedor regional. Quase todas as portas são simples de fechar depois de achadas, e o trabalho difícil é descobrir qual delas foi usada.

• Senha padrão ou fraca: equipamento instalado com a senha de fábrica ou com a mesma senha em todos os roteadores, OLTs e switches.
• Gerência aberta para a internet: acesso por web, SSH, Telnet ou Winbox liberado para qualquer endereço, sem lista de origem.
• Sistema sem atualização: versão com falha conhecida e publicada, explorada por robôs que varrem blocos inteiros de IP.
• Senha vazada: credencial de ex-funcionário, de fornecedor, anotada em planilha compartilhada ou enviada por mensagem.
• Acesso remoto esquecido: VPN, conta ou chave de alguém que não trabalha mais com o provedor e nunca foi removida.
• Sistema de gestão exposto: painel do ERP ou do RADIUS acessível de fora, com falha conhecida ou senha fraca.

Por que o provedor regional vira alvo com facilidade

O provedor regional costuma crescer rápido e com equipe pequena, e a segurança da gerência fica para depois. Equipamentos instalados às pressas guardam a senha do dia da instalação por anos.

Outro fator é a rede de gerência misturada com a rede dos clientes. Quando o acesso administrativo passa pelo mesmo caminho do tráfego dos assinantes, qualquer falha num equipamento expõe todos os outros. Separar essa rede é o trabalho da rede de gerência isolada.

O que verificar primeiro, antes de mexer

Verifique primeiro quem está conectado agora, quais usuários existem e se a gerência está aberta para fora. Essas três respostas mostram se o invasor ainda está dentro e por onde pode ter entrado.

Em roteadores MikroTik, que são maioria na borda e no concentrador de muitos provedores, os comandos abaixo só leem a configuração e não mudam nada. Rode antes da limpeza e guarde a saída.

/user active print
/user print detail
/user ssh-keys print
/system scheduler print detail
/system script print detail
/ip service print
/export file=antes-da-limpeza

Provedor invadido: o que fazer, passo a passo

A ordem é conter, guardar as provas, trocar as senhas, procurar portas para voltar, achar a entrada e avisar quem precisa. Limpar antes de entender deixa a porta do invasor aberta.

1. Corte o acesso de fora: bloqueie a gerência de todos os equipamentos para a internet e derrube as sessões que a equipe não reconhece.
2. Guarde as provas: exporte configurações, registros e listas de usuários para um lugar fora da rede antes de mudar qualquer coisa.
3. Troque as senhas: comece pela borda, pelo concentrador e pelos sistemas de gestão, usando um computador que não esteja comprometido.
4. Procure portas para voltar: remova usuários, chaves, agendamentos, scripts e VPNs desconhecidos, conferindo um por um.
5. Ache a entrada: compare os registros com a lista de causas e feche a porta usada e as parecidas em todos os equipamentos.
6. Avise quem precisa: sócios, advogado e, conforme o caso, Anatel, ANPD e clientes [CONFIRMAR na norma].

Na borda, confira também os anúncios e as sessões com as operadoras. Mudança de configuração feita pelo invasor pode derrubar sessões, e o guia sobre BGP caindo no provedor ajuda a separar o que foi alterado do que é falha comum.

Exemplo: o usuário que voltava depois de apagado

Um cenário típico mostra por que a ordem importa. O técnico vê um usuário desconhecido no roteador de borda, apaga o usuário, troca a senha e, no dia seguinte, o mesmo usuário está lá de novo.

A causa costuma ser um script agendado que recria o acesso a cada poucas horas, ou uma chave SSH que continua valendo depois da troca de senha. Enquanto essa porta existir, apagar o usuário só esconde o problema por algumas horas.

Restaurar uma configuração antiga também só resolve se ela for de antes da invasão. O guia de como recuperar a configuração do MikroTik explica como escolher a cópia certa.

Avisos obrigatórios depois da contenção

Se dados pessoais de assinantes foram acessados, a LGPD prevê comunicação à ANPD e aos titulares [CONFIRMAR na norma]. O regulamento de segurança cibernética da Anatel também traz deveres de notificação para prestadoras [CONFIRMAR na norma].

Por isso as provas guardadas no segundo passo valem tanto. Elas mostram o que foi acessado, quando e por onde, e dão base para o advogado decidir o que comunicar.

Erros comuns que apagam provas ou deixam o invasor dentro

O erro mais comum é resetar o equipamento antes de guardar configurações e registros. O segundo é trocar as senhas e achar que o caso acabou.

Outro erro é tratar a invasão como problema de um equipamento só. Se a senha era a mesma em toda a rede, a OLT, o concentrador e os switches também precisam ser conferidos, mesmo que pareçam normais.

Quando vale parar e chamar um Especialista?

Vale chamar um Especialista quando há sinal de acesso de terceiros na borda, quando a equipe perdeu a senha de algum equipamento ou quando outras redes reclamam de ataques vindos dos seus IPs. Nesses casos, cada hora tentando sozinho aumenta o estrago.

Uma invasão na borda mexe com BGP, CGNAT e às vezes com o sistema de gestão ao mesmo tempo, e isso pede um nível de conhecimento que muitas equipes não têm na casa.

Esse é o papel do suporte técnico N3: entrar no núcleo da rede, achar a causa raiz da invasão e deixar um procedimento escrito para a equipe da casa seguir dali em diante.

A Táquion Tech atende a resposta a incidentes de forma remota, com sigilo, e trabalha na ordem conter, preservar, investigar, limpar e fortalecer. O tempo de primeira resposta e o SLA do atendimento são [PREENCHER tempo de resposta e SLA].

Como evitar uma nova invasão depois da limpeza

Depois da limpeza, o objetivo é que a mesma porta não sirva mais em nenhum equipamento. A lista abaixo resume o que costuma fechar a maior parte das entradas.

• Gerência isolada: acesso administrativo só pela rede interna ou por VPN, nunca aberto para a internet.
• Usuário por pessoa: cada técnico e cada fornecedor com o próprio login, removido no dia em que sai.
• Atualização em dia: versões conferidas a cada aviso de falha do fabricante, começando pela borda.
• Registros fora do equipamento: logs enviados para um servidor separado, que o invasor não consegue apagar.
• Cópia da configuração: backup automático e guardado fora da rede, com data, para saber o que mudou.

Para quem tem muitos técnicos acessando a rede, o guia de implantação de TACACS mostra como centralizar logins e registrar cada comando.

Perguntas frequentes sobre provedor invadido

Thiago Manoel

Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]

Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.

A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.

Conheça a equipe da Táquion Tech