Falcon: revise a confiança na sessão do navegador
A pesquisa sobre Falcon coloca o navegador dentro do escopo da resposta. Relacione o que o portal entrega, quem controla as extensões e quais acessos precisam ser reavaliados.
Read in EnglishPor Pentesty
O ponto de partida da investigação
Em 11 de novembro de 2026, a Unit 42 publicou pesquisa sobre Falcon, com observações entre março e maio em órgãos governamentais. O relatório descreve JavaScript em portais comprometidos e extensões maliciosas capazes de alcançar dados e sessões. Os pesquisadores dizem desconhecer como os operadores distribuem essas extensões.
Isso orienta perguntas de avaliação, sem comprovar que uma organização leitora foi atingida. Uma investigação local precisa partir de ativos e registros próprios. O nome de uma ferramenta ou a aparência de uma extensão não substitui a ligação entre alteração, usuário e acesso observado.
Dê um responsável ao conteúdo entregue pelo portal
Escolha uma aplicação corporativa representativa e identifique quem aprova seus arquivos, modelos de página e dependências. Compare o conteúdo publicado com a versão aprovada para aquele ambiente. Registre também as alterações emergenciais: elas precisam de uma justificativa verificável quando a comparação encontrar diferenças.
Em homologação, use uma alteração inofensiva previamente autorizada para verificar se a equipe consegue detectar, atribuir e reverter uma publicação fora do procedimento esperado. Não injete o malware descrito na pesquisa. O critério é reconhecer uma mudança sem depender de uma pessoa lembrar como a página deveria parecer.
Trate a extensão como um componente administrado
Monte uma amostra de perfis de navegador usados para tarefas sensíveis. Para cada extensão, reúna identificador, versão, origem de instalação, proprietário interno e permissão aprovada. Uma descrição comercial ou um ícone familiar não explica por que aquele componente está autorizado a operar no perfil.
Peça que o responsável demonstre como uma exceção é concedida e retirada. Compare uma estação comum com uma estação administrativa, sem copiar dados entre perfis. Se a organização não conseguir explicar uma instalação, registre o componente como pendência de decisão e preserve os elementos necessários à investigação.
Correlacione três perspectivas do mesmo acesso
Uma observação do navegador, uma autenticação na aplicação e um registro do dispositivo podem ter responsáveis diferentes. Defina um identificador de teste que permita relacionar os três conjuntos. Registre fusos, horários e lacunas de coleta antes de tentar reconstruir a sequência de uma sessão.
Use uma conta sintética para executar uma tarefa normal e confirme quem consegue explicar sua origem, destino e resultado. Se um painel não receber o evento, determine se faltou atividade ou visibilidade. A ausência de alerta, sozinha, não demonstra que todos os caminhos relevantes foram observados.
Planeje a recuperação por acesso concedido
Escreva uma matriz ligando usuário, aplicação, perfil e responsável por encerrar o acesso. Em um exercício autorizado, retire o acesso de teste e verifique o resultado na aplicação correspondente. Registre separadamente a limpeza do dispositivo, a decisão sobre a conta e a confirmação de funcionamento após a recuperação.
Não transforme o retorno do navegador em aprovação automática de todas as integrações do usuário. Cada acesso possui um dono e uma finalidade. Quando não houver evidência suficiente para encerrar uma sessão específica, mantenha a restrição e defina o próximo passo com a área responsável pelo serviço.
Faça o aceite responder a uma pergunta de negócio
Escolha uma tarefa essencial, como consultar um documento interno com autorização apropriada. O dono do processo deve confirmar que o usuário certo voltou a trabalhar e que as restrições combinadas continuam válidas. Guarde a execução de controle como referência para mudanças posteriores no portal ou no navegador.
O relatório final deve separar achados observados, hipóteses de investigação e recomendações. Indique quais perfis ficaram fora da amostra e quem acompanhará a expansão do trabalho. Uma conclusão limitada e repetível ajuda mais a operação do que uma declaração ampla sem cobertura demonstrável.
Perguntas frequentes
A pesquisa confirma uma campanha atual em nossa empresa?
O relato não comprova impacto local. Investigue registros próprios e separe as datas de observação e publicação.
Como a extensão foi instalada?
A Unit 42 declara desconhecer a distribuição. Não apresente hipóteses de instalação como fatos; preserve a origem identificada no seu ambiente e investigue o que estiver ausente.
Devemos executar o Falcon para validar controles?
Este plano usa contas sintéticas e alterações inofensivas em homologação. Qualquer exercício mais invasivo exige escopo, autorização e critérios próprios definidos antes da execução.
Qual evidência encerra a recuperação?
A decisão deve ligar o dispositivo, os acessos revisados e uma tarefa autorizada que voltou a funcionar. Exceções e perfis não avaliados precisam permanecer explícitos no registro final.
Fontes e referências
- totalsecurity: referência editorial lida integralmente
- Unit 42: pesquisa original sobre Falcon e Antino
Análise original da Pentesty, publicada em 14 de novembro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.