Uma vulnerabilidade crítica no sistema de gestão de aprendizagem Digital Knowledge KnowledgeDeliver, popular no Japão, foi explorada para distribuir o Godzilla web shell e o Cobalt Strike Beacon. A falha, agora corrigida, era um zero-day identificado como CVE-2026-5426, com pontuação CVSS de 7.5, e permitia a execução remota de código não autenticado através de um ataque de desserialização do ViewState.
O problema surgiu devido ao uso de chaves ASP.NET hard-coded, documentado pela Microsoft em fevereiro de 2025. A falha permitiu que um ator desconhecido injetasse código malicioso na plataforma LMS, infectando usuários que acessavam o site. As instalações afetadas eram anteriores a 24 de fevereiro de 2026.
Os invasores usaram o Godzilla web shell para executar comandos e manipular o sistema de arquivos, alterando um arquivo JavaScript para exibir um falso alerta de segurança. Isso induzia os usuários a instalar um plugin de autenticação falso, levando à infecção com o Cobalt Strike Beacon. O payload foi criptografado usando o nome da organização comprometida, indicando um ataque direcionado.
O caso destaca os riscos de usar segredos compartilhados em templates de implantação. A implementação de segredos únicos e monitoramento robusto de endpoints são essenciais para defender contra ataques de desserialização.
Fonte:https://thehackernews.com/2026/05/knowledgedeliver-lms-flaw-exploited-to.html
Slug: falha-seguranca-lms-explorada-para-malware
