# T1599 - Network Boundary Bridging > [!danger] Alta Severidade para Infraestrutura Crítica > T1599 permite que adversários **apaguem a separação entre redes confiáveis e não-confiáveis** ao comprometer dispositivos de borda. Uma vez que o boundary está comprometido, políticas de segmentação de rede tornam-se ineficazes - o atacante pode transitar livremente entre zonas que deveriam ser isoladas. ## Descrição **Network Boundary Bridging** (Transposição de Fronteiras de Rede) é a técnica pela qual adversários comprometem dispositivos responsáveis pela separação de redes - roteadores, firewalls, proxies, gateways VPN, switches de camada 3 - e reconfiguram esses dispositivos para permitir tráfego que normalmente seria bloqueado pelas políticas de segurança da organização. A premissa fundamental da técnica é que **o dispositivo de borda em si se torna o vetor**. Em vez de tentar penetrar a rede interna passando pelo firewall, o adversário *toma controle do firewall* e o reconfigura para criar passagens entre redes segmentadas. Isso é qualitativamente diferente de uma exploração de aplicação: o atacante adquire controle sobre a infraestrutura que aplica as políticas de segurança, tornando essas políticas efetivamente irrelevantes. O impacto vai além do acesso inicial. Uma vez que o adversário controla o boundary device, ele pode: - **Eliminar ACLs** que separam zonas de rede (DMZ, redes de produção, redes de gerenciamento) - **Criar rotas estáticas** que conectam diretamente redes antes isoladas - **Habilitar tráfego bidirecional** onde antes só havia fluxo unidirecional - **Monitorar passivamente todo o tráfego** que atravéssa o dispositivo (incluindo credenciais, dados sensíveis) - **Facilitar movimentação lateral** entre organizações distintas que compartilham o mesmo dispositivo de borda (ISPs, provedores de serviço gerenciado) - **Estabelecer C2** resiliente via [[t1090-003-multi-hop-proxy|Multi-hop Proxy]] ou [[t1020-001-traffic-duplication|Traffic Duplication]] A sub-técnica [[t1599-001-network-address-translation-traversal|T1599.001 - NAT Traversal]] cobre específicamente a manipulação de tabelas NAT para permitir conexões de entrada que o NAT normalmente bloquearia, criando tunelamentos invisíveis entre redes. ## Como Funciona ### Vetor de Comprometimento O ataque geralmente começa com o comprometimento do dispositivo de borda via uma das seguintes rotas: | Vetor | Exemplo | CVEs relevantes | |-------|---------|----------------| | Vulnerabilidade pré-autenticada | RCE em interface de gerenciamento | CVE-2024-47575 (FortiManager), CVE-2023-4966 (Citrix) | | Credenciais fracas / padrão | Acesso SSH/HTTPS com senha padrão | - | | Vulnerabilidade pós-autenticação | Escalada de privilégio após acesso limitado | CVE-2024-20353 (Cisco ASA) | | Supply chain do firmware | Firmware comprometido por fornecedor | - | | Acesso via parceiro/MSP | Compromisso de provedor de serviço gerenciado | - | ### Processo de Bridging Após comprometimento do dispositivo: 1. **Reconnaissance interno** - O adversário mapeia a topologia de rede visível pelo dispositivo comprometido: quais sub-redes existem, quais ACLs estão em vigor, quais rotas são anunciadas 2. **Modificação de políticas** - Regras de firewall são alteradas para permitir tráfego específico. Isso pode ser feito via CLI nativa, API de gerenciamento, ou modificação direta de arquivos de configuração no filesystem do dispositivo 3. **Criação de rotas** - Rotas estáticas ou manipulação de BGP/OSPF para anunciar prefixos de redes internas que antes não eram roteáveis externamente 4. **Estabelecimento de persistência** - Implantação de backdoor (geralmente via modificação do processo de inicialização do firmware ou criação de usuário local) para sobreviver a reinicializações 5. **Tunelamento de tráfego** - Uso do dispositivo comprometido como ponto de pivô para acessar redes internas, via NAT traversal ([[t1599-001-network-address-translation-traversal|T1599.001]]), proxy reverso, ou VPN não autorizado ## Attack Flow ```mermaid graph TB A([Adversário identifica dispositivo de borda]) --> B[Reconhecimento do dispositivo] B --> B1[Identifica modelo / versão firmware] B --> B2[Mapeia portas de gerenciamento expostas] B --> B3[Verifica CVEs aplicáveis] B1 & B2 & B3 --> C{Vetor de acesso} C --> C1[Exploit pré-auth - RCE] C --> C2[Credenciais fracas / padrão] C --> C3[Acesso via parceiro MSP comprometido] C --> C4[Vulnerabilidade pós-auth] C1 & C2 & C3 & C4 --> D[Acesso com privilégio ao dispositivo] D --> E[Reconnaissance interno da topologia] E --> E1[Mapeia ACLs e zonas de rede] E --> E2[Identifica segmentos de alto valor] E --> E3[Cataloga rotas e prefixos] E1 & E2 & E3 --> F[Modificação da configuração] F --> F1[Remove / altera ACLs restritivas] F --> F2[Cria rotas para segmentos internos] F --> F3[Manipula tabelas NAT] F --> F4[Habilita serviços de tunelamento] F1 & F2 & F3 & F4 --> G[Bridge estabelecido] G --> H[Implanta backdoor persistente no dispositivo] G --> I[Acessa rede interna antes isolada] I --> I1[C2 via Multi-hop Proxy] I --> I2[Movimentação lateral entre segmentos] I --> I3[Exfiltração via Traffic Duplication] I --> I4[Pivô para redes de outras organizações] style A fill:#c0392b,color:#fff style C fill:#e67e22,color:#fff style D fill:#8e44ad,color:#fff style G fill:#8e44ad,color:#fff style I fill:#2980b9,color:#fff style H fill:#c0392b,color:#fff ``` ## Exemplos de Uso ### APT41 - Comprometimento de roteadores de telecomúnicações O [[g0096-apt41|APT41]] (China, dupla motivação: espionagem e crime financeiro) foi documentado comprometendo roteadores de provedores de internet e operadoras de telecomúnicações para criar bridges entre redes de clientes e infraestrutura de C2. Ao comprometer o equipamento de roteamento de um ISP, o grupo obtinha acesso passivo ao tráfego de múltiplos clientes corporativos sem precisar comprometer cada cliente individualmente. Relatórios do DOJ americano e do CISA detalham operações onde APT41 usou dispositivos de borda para pivô entre organizações distintas. ### Volt Typhoon - Dispositivos SOHO como living-off-the-land O grupo Volt Typhoon (China, foco em infraestrutura crítica americana e aliados) foi documentado pelo CISA, NSA e FBI em 2023-2024 comprometendo roteadores SOHO (Cisco RV, ASUS, NETGEAR) de pequenas empresas e residências para criar uma rede de proxies que mascara tráfego malicioso como originado de IPs legítimos americanos. Esse padrão é Network Boundary Bridging em escala: cada dispositivo SOHO comprometido funciona como bridge entre a internet pública e a rede doméstica/corporativa da vítima. ### UNC3886 - Comprometimento de VMware NSX e FortiGaté O [[g1048-unc3886|UNC3886]] (China, foco em espionagem via hypervisors) foi documentado comprometendo instâncias do FortiGaté e VMware vCenter para criar acesso persistente a redes OT/IT separadas. O grupo explorou o CVE-2022-41328 (FortiOS path traversal) para implantar backdoors diretamente no firmware de appliances FortiGaté, criando bridges entre a rede de gerenciamento VMware e segmentos de OT isolados. ### Grupos de ransomware - Comprometimento de VPN gateways Grupos de ransomware como [[lockbit|LockBit]] e operadores de [[blackcat|ALPHV]] documentadamente exploram vulnerabilidades em gateways VPN (Pulse Secure, Citrix ADC, Fortinet SSL VPN) como entrada inicial. Após comprometer o dispositivo, reconfiguram políticas de split tunneling e ACLs para garantir acesso persistente à rede interna, independente de mudanças de senha de usuários VPN. ## Detecção > [!tip] Foco na Detecção de Configuração > A detecção mais efetiva não é de tráfego malicioso (que pode parecer legítimo após o bridge), mas de **mudanças de configuração não autorizadas** nos dispositivos de borda. ### Regra Sigma - Mudança de Configuração de Firewall Não Programada ```yaml title: Unscheduled Network Boundary Device Configuration Change id: d4e9f138-7b25-4c63-a8d1-5e3f7c2b9a06 status: experimental description: > Detecta mudanças de configuração em dispositivos de rede de borda fora de jánelas de manutenção programadas - possível indicador de T1599 (Network Boundary Bridging) ou comprometimento de dispositivo. references: - https://attack.mitre.org/techniques/T1599/ author: RunkIntel daté: 2026-03-25 tags: - attack.defense_evasion - attack.t1599 logsource: product: cisco service: aaa detection: selection_config_change: EventType: 'config_change' Facility: 'AUTH' filter_maintenance_window: # Ajustar para jánelas de manutenção da organização # Exemplo: bloquear alertas durante jánela semanal de domingo 02:00-06:00 Weekday: 'Sunday' Hour|gte: 2 Hour|lte: 6 condition: selection_config_change and not filter_maintenance_window falsepositives: - Mudanças emergenciais de configuração documentadas - Testes de manutenção fora de jánela level: high ``` ### Regra Sigma - Novo Usuário Local em Dispositivo de Rede ```yaml title: New Local User Created on Network Infrastructure Device id: c7a3e856-2d14-4b71-9f5e-8a1c4d7e2b30 status: experimental description: > Detecta criação de novo usuário local em dispositivos de rede (roteadores, firewalls, switches) - técnica usada por adversários para manter acesso persistente após comprometimento via T1599. references: - https://attack.mitre.org/techniques/T1599/ - https://attack.mitre.org/techniques/T1136/ author: RunkIntel daté: 2026-03-25 tags: - attack.defense_evasion - attack.t1599 - attack.persistence - attack.t1136 logsource: product: cisco service: syslog detection: selection_user_created: Message|contains: - 'user-account added' - 'local user created' - 'aaa new-model' - 'username privilege 15' condition: selection_user_created falsepositives: - Atividades legítimas de administração de rede documentadas level: high ``` ### Estrategias de Detecção Adicionais | Método | Descrição | Cobertura | |--------|-----------|-----------| | Network Flow Anomaly Detection | Detectar tráfego entre segmentos que normalmente não se comúnicam | Alta para bridges novos | | Configuration Integrity Monitoring | Hash da configuração de dispositivos; alertar em qualquer mudança | Alta para mudanças diretas | | Syslog centralizado de dispositivos | Todos os logs de rede enviados a SIEM imutável fora do dispositivo | Alta para ações pós-comprometimento | | Varredura periódica de ACLs | Comparar ACLs atuais com baseline aprovado | Média para detecção retroativa | | NetFlow / IPFIX para segmentos internos | Detectar flows anômalos entre VLANs isoladas | Alta para tráfego pós-bridge | ## Mitigação | ID | Mitigação | Implementação Recomendada | Eficácia | |---|-----------|--------------------------|---------| | [[m1032-multi-factor-authentication\|M1032 - Multi-factor Authentication]] | Exigir MFA para todo acesso de gerenciamento a dispositivos de rede (SSH, HTTPS, console) | TACACS+/RADIUS com MFA integrado | Alta | | [[m1027-password-policies\|M1027 - Password Policies]] | Senhas únicas e fortes por dispositivo; rotação periódica; vault de credenciais | CyberArk, HashiCorp Vault, ou equivalente | Alta | | [[m1026-privileged-account-management\|M1026 - Privileged Account Management]] | Princípio do menor privilégio em contas de gerenciamento de rede; contas separadas por função | RBAC no TACACS+; auditar contas com `privilege 15` | Alta | | [[m1037-filter-network-traffic\|M1037 - Filter Network Traffic]] | Restringir acesso de gerenciamento a jump servers dedicados em rede de gerenciamento isolada | ACLs de gerenciamento para `0.0.0.0/0` negadas; só jump server | Muito Alta | | [[m1043-credential-access-protection\|M1043 - Credential Access Protection]] | Proteger credenciais de enable/privileged mode; não armazenar em texto claro em configs | `enable secret` com scrypt; uso de AAA externo | Alta | > [!tip] Controle Adicional Crítico > **Network Device Management Plane Isolation**: O plano de gerenciamento de dispositivos de rede deve ser fisicamente ou lógicamente separado do plano de dados. Acesso de gerenciamento via interface dedicada (OOB - Out-of-Band Management) em rede segregada, acessível apenas via jump server com gravação de sessão. ## Sub-técnicas - [[t1599-001-network-address-translation-traversal|T1599.001 - Network Address Translation Traversal]] ## Contexto Brasil/LATAM O contexto brasileiro apresenta exposição elevada a T1599 por razões estruturais e operacionais específicas: **Concentração de dispositivos vulneráveis:** O Brasil possui uma das maiores bases instaladas de roteadores e firewalls de médio porte na América Latina, muitos operando com firmware desatualizado. Campanhas como as documentadas pelo CISA contra dispositivos Cisco IOS/IOS-XE (CVE-2023-20198, CVE-2023-20273) afetaram dispositivos em ISPs e empresas brasileiras. A superfície de exposição é ampliada pelo grande número de PMEs com roteadores expostos diretamente à internet. **ISPs e Hosting como vetores:** Provedores de internet regionais brasileiros (muitos com menos de 500 clientes) frequentemente operam roteadores de borda com credenciais padrão ou firmwares não atualizados. Um adversário que compromete um ISP regional pode obter visibilidade sobre o tráfego de múltiplas empresas-clientes - uma versão de T1599 com alcance multiplicado. Esse vetor foi documentado em incidentes relacionados ao [[financial|setor financeiro]] e [[government|governo]]. **Infraestrutura crítica industrial:** Operadores de [[energy|energia]] (distribuidoras, usinas hidrelétricas), telecomúnicações, e saneamento no Brasil frequentemente operam redes OT/ICS separadas de redes corporativas por firewalls industriais. O comprometimento desses dispositivos de borda - especialmente os que fazem a separação IT/OT - é um objetivo estratégico de grupos de espionagem e sabotagem que afetam o Brasil. **APT41 e telecomúnicações brasileiras:** O [[g0096-apt41|APT41]] tem sido atribuído a ataques contra operadoras de telecomúnicações globalmente, incluindo na região LATAM. Dado que APT41 usa T1599 como parte de sua cadeia de comprometimento de telecomúnicações, operadoras brasileiras devem considerar essa técnica como ameaça realista. **Recomendações específicas para o Brasil:** 1. Auditar imediatamente dispositivos de borda para CVEs recentes (FortiGaté, Cisco IOS-XE, Palo Alto PAN-OS) 2. Implementar SIEM com ingestão de syslogs de todos os dispositivos de rede - isso é obrigação regulatória para setores regulados (BACEN, ANATEL, ANEEL) 3. Isolar interfaces de gerenciamento de rede em VLANs dedicadas, inacessíveis da rede de usuários 4. Revisar contratos com MSPs e provedores de serviço gerenciado para garantir controles de acesso privilegiado adequados (LGPD impõe responsabilidades sobre processadores de dados) ## Referências - [MITRE ATT&CK - T1599 Network Boundary Bridging](https://attack.mitre.org/techniques/T1599/) - [MITRE ATT&CK - T1599.001 NAT Traversal](https://attack.mitre.org/techniques/T1599/001/) - [CISA / NSA / FBI - Volt Typhoon Advisory (2024)](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a) - [CISA - Cisco IOS XE Web UI Vulnerabilities (CVE-2023-20198)](https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-295a) - [Mandiant - UNC3886 FortiGaté Zero-Day Analysis](https://www.mandiant.com/resources/blog/chinese-actors-exploit-fortios-zero-day) - [DOJ - APT41 Indictment (2020)](https://www.justice.gov/opa/pr/seven-international-cyber-defendants-including-apt41-associates-charged-connection-computer) - [CERT.br - Recomendações para Dispositivos de Rede](https://www.cert.br/docs/whitepapers/segurança-redes/) --- **Técnica pai:** Não aplicável (T1599 é técnica de nível 1) **Sub-técnicas:** [[t1599-001-network-address-translation-traversal|T1599.001 - NAT Traversal]] **Tática:** [[_defense-evasion|Defense Evasion]] *Fonte: [MITRE ATT&CK - T1599](https://attack.mitre.org/techniques/T1599)*