A Kubota North America Corp. (KNA), braço norte‑americano do gigante japonês de máquinas agrícolas, confirmou que um grupo de hackers conseguiu permanecer dentro de sua rede corporativa por mais de um mês, entre janeiro e fevereiro de 2024. Segundo comunicado oficial divulgado em 31 de maio, os invasores conseguiram acessar sistemas de e‑mail, ferramentas de colaboração e alguns servidores de suporte ao cliente, embora a empresa afirme que não houve comprometimento de dados críticos de produção ou de controle de máquinas.

A descoberta veio após a equipe interna de segurança da Kubota detectar tráfego anômalo em um dos servidores de backup. Uma investigação forense revelou que o invasor havia instalado backdoors persistentes, permitindo a movimentação lateral e a manutenção de privilégios elevados por cerca de 38 dias. A empresa notificou autoridades americanas e iniciou um processo de contenção, remoção de credenciais comprometidas e reforço de políticas de acesso.

O caso ganhou destaque porque, apesar da Kubota não ser uma empresa de tecnologia, sua infraestrutura digital suporta a cadeia de suprimentos de equipamentos agrícolas usados em todo o continente, inclusive no Brasil. A exposição de credenciais internas pode abrir caminho para ataques a concessionárias e distribuidores locais, que dependem de sistemas de gestão de estoque e suporte técnico hospedados nos mesmos data‑centers da matriz norte‑americana.

No Brasil, a Kubota tem forte presença através da Kubota do Brasil, que comercializa tratores, colheitadeiras e equipamentos de construção. Embora a subsidiária tenha sua própria rede, as políticas de segurança são alinhadas com a matriz e o compartilhamento de credenciais de administrador entre filiais ainda ocorre em alguns casos. O vazamento de informações de login ou de credenciais de suporte pode facilitar a penetração de agentes maliciosos em sistemas brasileiros, expondo dados de clientes, informações de garantia e até detalhes de projetos de máquinas conectadas à internet (IoT). A Lei Geral de Proteção de Dados (LGPD) impõe a obrigação de notificar a Autoridade Nacional de Proteção de Dados (ANPD) caso haja risco a dados pessoais, e a exposição de informações de clientes brasileiros poderia gerar multas de até 2% do faturamento da empresa no Brasil, limitadas a R$ 50 milhões por infração.

Do ponto de vista técnico, a intrusão parece ter começado com um ataque de phishing direcionado a funcionários da área de suporte técnico. Um e‑mail contendo um link malicioso simulava um aviso de atualização de software da própria Kubota. Ao clicar, o usuário foi levado a um site que entregou um payload do tipo Remote Access Trojan (RAT) baseado em PowerShell, capaz de contornar a política de execução restrita por meio de técnicas de “living off the land”. O RAT estabeleceu comunicação cifrada com um servidor de comando e controle (C2) localizado fora dos EUA, usando protocolos HTTPS para camuflar o tráfego.

Uma vez dentro da rede, os invasores utilizaram credenciais roubadas para escalar privilégios, explorando vulnerabilidades conhecidas em servidores Windows Server 2016 que ainda não haviam sido corrigidas. Eles também ativaram técnicas de “pass‑the‑hash” para mover-se lateralmente entre máquinas, instalando backdoors adicionais em contas de serviço com permissões administrativas. O uso de ferramentas legítimas, como PsExec e PowerShell Remoting, dificultou a detecção pelos sistemas de prevenção de intrusões (IPS), pois o tráfego parecia benigno. Além disso, os atacantes configuraram tarefas agendadas (Scheduled Tasks) para garantir persistência mesmo após reinicializações ou mudanças de senha.

A resposta da Kubota incluiu a desativação imediata das contas comprometidas, o bloqueio de endereços IP associados ao C2 e a aplicação de patches críticos em todos os servidores vulneráveis. A empresa também contratou uma consultoria externa de resposta a incidentes para conduzir uma revisão completa da arquitetura de segurança, incluindo a segmentação de rede (micro‑segmentação) e a implementação de autenticação multifator (MFA) em todas as contas privilegiadas.

Para usuários e empresas brasileiras que dependem de sistemas da Kubota, a recomendação imediata é mudar todas as senhas de acesso administrativo e de suporte, habilitar MFA onde ainda não estiver em uso e revisar logs de acesso dos últimos três meses em busca de atividades suspeitas. Caso haja integração de sistemas ERP ou de gestão de frota com os servidores da Kubota NA, recomenda‑se isolar essas conexões por meio de VPNs com inspeção profunda de pacotes (DPI) e aplicar políticas de “zero trust”.

Nos próximos dias, espera‑se que a Kubota publique um relatório detalhado de investigação, possivelmente revelando a identidade do grupo responsável – especula‑se que seja um ator patrocinado por estado, dada a sofisticação das técnicas empregadas. Também é provável que outras empresas do setor de maquinário agrícola revelem incidentes semelhantes, já que a cadeia de suprimentos compartilha plataformas de TI. Autoridades de segurança dos EUA e do Brasil podem intensificar a cooperação para rastrear a origem dos servidores C2, enquanto a comunidade de segurança continuará monitorando indicadores de comprometimento (IOCs) divulgados pela Kubota para prevenir contágios em ambientes correlatos.

Fonte: BleepingComputer