Hackers exploram falha máxima no SimpleHelp (CVE-2026-48558) para implantar TaskWeaver e Djinn Stealer em ambientes RMM

Um ator de ameaça ainda não identificado está explorando ativamente o CVE-2026-48558 (CVSS 10.0), uma falha crítica de bypass de autenticação no OpenID Connect (OIDC) do SimpleHelp, para criar sessões de “Technician” totalmente autenticadas e implantar duas famílias de malware inéditas: o loader Node.js TaskWeaver e o info-stealer multiplataforma Djinn Stealer. A análise da Blackpoint Cyber mostra como uma única falha de RMM se transformou em ponte para credenciais de cloud, repositórios de código, ferramentas de IA e carteiras de criptomoeda.

O que aconteceu

O SimpleHelp é uma plataforma de Remote Monitoring and Management (RMM) usada por MSPs e equipes internas de TI para administrar parques de máquinas remotamente. Em junho, a Horizon3.ai divulgou o CVE-2026-48558, que afeta servidores configurados para usar OIDC genérico ou Azure AD OIDC. A falha está na forma como o SimpleHelp valida as asserções de identidade enviadas pelo provedor de identidade (IdP).

Na prática, um atacante não autenticado pode forjar um token contendo claims arbitrárias de identidade e, ao submetê-lo, ser reconhecido pelo SimpleHelp como um novo “Technician”. Esse perfil tem, por padrão, privilégios administrativos: acesso remoto aos endpoints gerenciados, execução de scripts e transferência de arquivos. Pior: mesmo quando MFA está exigido para técnicos, o defeito permite que o invasor registre o próprio fator no primeiro login, contornando a proteção.

Poucas semanas após a divulgação, a Blackpoint Cyber registrou exploração ativa do bug. Um servidor SimpleHelp exposto na internet foi comprometido e usado como canal administrativo confiável para entregar o TaskWeaver e, em seguida, o Djinn Stealer.

Detalhes da vulnerabilidade e do malware

O TaskWeaver é um loader Node.js fortemente ofuscado, entregue com o nome jquery.js e executado por meio do binário node.exe — uma escolha que ajuda a se misturar a ambientes de desenvolvimento e ferramentas legítimas. Ele faz fingerprint do sistema, estabelece comunicação cifrada com um servidor remoto (a.dev-tunnels[.]com) e baixa payloads JavaScript adicionais que rodam com acesso elevado dentro do runtime do Node.

O segundo estágio, Djinn Stealer, é onde o estrago se concretiza. O malware é desenhado para Windows, macOS e Linux e foca em credenciais de alto valor: plataformas de cloud, sistemas de controle de versão, registros de pacotes (npm, PyPI), ferramentas de infraestrutura, assistentes de desenvolvimento com IA, navegadores, chaves SSH e carteiras de criptomoeda. Dados como senhas, API keys, tokens de acesso, strings de conexão de banco e variáveis de ambiente capturadas em command line também são coletados.

Tudo é empacotado em um arquivo TAR comprimido em GZIP, cifrado com AES-256-GCM cuja chave é protegida por uma RSA-2048 embutida no TaskWeaver, e enviado para infraestrutura controlada pelo atacante (96.126.130[.]126:58942).

“Um único bypass de autenticação se tornou um caminho para tudo o que os sistemas gerenciados podiam alcançar — de plataformas de cloud e repositórios de código a ferramentas de IA, carteiras cripto e infraestrutura de clientes”, afirmaram os pesquisadores Nevan Beal e Sam Decker, da Blackpoint Cyber.

Quem é afetado e quais os riscos

O cenário é especialmente grave para MSPs, equipes de TI corporativas e qualquer organização que dependa do SimpleHelp como ferramenta central de suporte remoto. Pelo desenho do ataque, o invasor herda a confiança que o RMM tem dentro do parque gerenciado.

• Servidores SimpleHelp expostos à internet com OIDC habilitado (Azure AD OIDC ou OIDC genérico)
• Ambientes que delegam a autenticação MFA apenas ao próprio SimpleHelp (sem hardening adicional)
• MSPs com centenas a milhares de endpoints sob a mesma sessão administrativa
• Workstations de desenvolvedores e administradores, que tendem a concentrar tokens cloud, chaves SSH e segredos de pipelines CI/CD
• Operações que usam carteiras cripto em hot wallets em máquinas gerenciadas

Análise

Esse caso reforça uma tendência que vem se consolidando há pelo menos dois anos: ferramentas de RMM continuam sendo o alvo mais lucrativo para campanhas de comprometimento em massa. Vimos o mesmo padrão com Kaseya VSA, ConnectWise ScreenConnect e o próprio SimpleHelp em janeiro de 2025, quando o ransomware Medusa explorou outra falha do produto. A diferença agora é que o invasor não foi atrás de ransomware barulhento — ele optou por um info-stealer silencioso, focado em credenciais de longo prazo.

Outro ponto importante é a presença de credenciais de assistentes de IA na lista de alvos do Djinn Stealer. Tokens de Cursor, Copilot, Claude Code e similares dão acesso não só a contas, mas a contextos inteiros de projetos, bases de código privadas e chaves de produção que esses agentes costumam manipular. À medida que dev tools com IA viram parte do ferramental padrão, a superfície de ataque por roubo de token se expande.

Por fim, a escolha de Node.js como runtime do loader não é trivial. Em ambientes de desenvolvimento e DevOps, processos node.exe ou node são tão comuns que tendem a passar despercebidos por EDRs configurados para alertar binários incomuns. É o mesmo motivo pelo qual loaders em Python e PowerShell continuam populares: vivem em uma zona cinza entre administração legítima e atividade maliciosa.

Recomendações práticas

• Atualizar imediatamente o SimpleHelp para a versão mais recente que corrige o CVE-2026-48558
• Restringir o acesso ao servidor SimpleHelp a faixas de IP confiáveis ou através de VPN/Zero Trust Network Access
• Auditar logs de criação de usuários “Technician” nos últimos 60 dias e revogar qualquer conta inesperada
• Rotacionar todas as credenciais de cloud, API keys, tokens de CI/CD e chaves SSH presentes em workstations gerenciadas
• Bloquear comunicação com a.dev-tunnels[.]com e o IP 96.126.130.126 como IOCs conhecidos
• Habilitar detecção comportamental para node.exe e binários equivalentes em ambientes onde Node.js não é parte do workload esperado
• Configurar MFA externo (FIDO2, autenticador em provider) em vez de depender só do MFA interno do SimpleHelp
• Monitorar exfiltração via TAR/GZIP de tamanhos atípicos saindo de máquinas administrativas

Fonte: The Hacker News