Mon, 27 Jul 2026
← VoltarPesquisadores de segurança cibernética sinalizaram uma campanha de phishing com o tema Microsoft Teams que emprega iscas de “documentos seguros” para fornecer mensagens remotas legítimas
Pesquisadores de segurança cibernética sinalizaram uma campanha de phishing com o tema Microsoft Teams que emprega iscas de “documentos seguros” para fornecer ferramentas legítimas de monitoramento e gerenciamento remoto (RMM). “A vítima foi direcionada através de uma infraestrutura web comprometida para uma página falsificada da Microsoft Store, alegando que o Microsoft Teams precisava ser atualizado antes que o documento compartilhado pudesse ser aberto”, disse ZeroBEC em um relatório publicado na semana passada. A página falsa do Teams em questão é “teamvem[.]com”. O download ativo é usado para entregar "supportdev.exe", um carregador baseado em Inno Setup que inicia o PowerShell em uma janela oculta, busca um instalador oficial do Level RMM e registra o endpoint usando um segredo de registro controlado pelo invasor ("LEVEL_API_KEY=GxSCHE8EZwfyYN3iPQHPai8D").
Foi encontrado o mesmo comando do PowerShell para baixar e implantar o ConnectWise ScreenConnect em paralelo, indicando uma tentativa de descartar várias ferramentas RMM com a intenção de estabelecer acesso remoto persistente. Esta não é a primeira vez que os agentes de ameaças abusam das ferramentas RMM em seu benefício. No início deste ano, a Microsoft alertou sobre várias campanhas de phishing que usavam iscas para reuniões no local de trabalho e anexos em PDF para distribuir malware assinado chamado TrustConnect, que então atuou como um canal para o ScreenConnect, junto com outros programas RMM como Tactical RMM e MeshAgent. Outra campanha documentada pela ZeroBEC em maio de 2026 envolveu o uso de e-mails de phishing que pretendiam compartilhar documentos seguros, a fim de iniciar uma cadeia de ataques que lançou furtivamente backdoors RMM.
O último conjunto de ataques de phishing recebeu o codinome Operação BlueDash, com a empresa de segurança de e-mail atribuindo-o com confiança moderada a alta a um grupo de atores de ameaças que opera na Nigéria com base em uma análise de infraestrutura, histórico de código e um ambiente GitHub usado para operar as campanhas. A implantação de múltiplas ferramentas RMM no mesmo host é vista como uma tentativa de configurar acesso redundante e melhorar a resiliência caso um dos programas seja detectado e removido do ambiente. Posteriormente, os agentes da ameaça foram observados tentando explorar o host infectado, executando comandos para determinar se ele está pendente de reinicialização ou se o volume do sistema estava protegido, medindo perfis de firewall ativos, enumerando membros do grupo de Administradores local e identificando o nome do grupo de Administradores local. “Esta sequência sugere uma lista de verificação prática do operador: determinar o estado do sistema, compreender a criptografia e a postura do firewall e identificar usuários locais privilegiados antes de decidir como continuar”, disse ZeroBEC.
“Ele também fornece aos defensores uma oportunidade de detecção comportamental porque os comandos se originam através de um contexto RMM não autorizado, em vez de um fluxo de trabalho de TI aprovado”. Uma análise mais aprofundada da infraestrutura do agente de ameaça ("support[.]berrydev[.]xyz") descobriu um domínio GitHub Pages ("berry4603.github[.]io") e um repositório chamado "Bluedashltd" que contém a fonte de phishing, configuração CNAME e carga útil do SupportDev. O histórico de commits indica que a campanha está ativa pelo menos desde fevereiro de 2026, quando o repositório foi criado com a página falsa da Microsoft Store apresentando uma “atualização” para o Teams. Além do mais, foi encontrado um segundo repositório (“rustovni”) vinculado à mesma conta do GitHub para hospedar uma isca de reunião Zoom junto com seus componentes de entrega de carga útil.
O objetivo final, neste caso, é baixar o agente Tactical RMM de sua versão oficial do GitHub, instalá-lo no diretório temporário do Windows e registrar o host comprometido com o invasor usando um token de autenticação incorporado. A operação com tema Zoom também sugere que os atores da ameaça estão executando um esquema multimarcas que mantém o núcleo intacto, enquanto altera a atração do aplicativo no local de trabalho, o host de carga útil e a plataforma de gerenciamento remoto. A divulgação ocorre no momento em que ZeroBEC detalha o JIVS PhishKit, uma campanha coordenada de coleta de credenciais de caixa de correio direcionada a vários usuários no mesmo organização para entregar uma página de phishing independente de provedor que pode ter como alvo Microsoft 365, Google Workspace, cPanel, Roundcube, Zimbra e outras identidades de e-mail. O primeiro artefato relacionado ao esforço remonta a 21 de agosto de 2025.
“As mensagens usavam um remetente externo autenticado, mas não relacionado, avisavam que cada caixa de correio do destinatário havia violado a política e direcionavam os usuários para uma página de phishing PHP ativa no corychase[.]org”, disse a empresa. "A página de destino não era um clone da Microsoft. Ela apresentava um formulário genérico de 'Sessão expirada' que poderia ser usado no Microsoft 365, no Google Workspace, no webmail hospedado ou em quase qualquer identidade corporativa." O kit foi projetado para desviar um endereço de e-mail corporativo e a senha inserida para essa caixa de correio. Nenhum cookie de sessão, tokens OAuth, códigos de autenticação multifator (MFA) ou sessões do navegador são exfiltrados.
O desenvolvimento também segue a remoção do kit de phishing como serviço (PhaaS) Kratos (anteriormente Sneaky 2FA) pelas autoridades alemãs em colaboração com os EUA e a Indonésia, além da prisão de seu suposto desenvolvedor e administrador técnico. Estima-se que a operação tenha rendido mais de 300.000 euros (342.000 dólares) desde 2024. Acredita-se que mais de 1.800 empresas criminosas tenham usado o Kratos, resultando em cerca de 15.000 campanhas de phishing por mês. Saiba como 300 líderes empresariais estão gerenciando riscos de código aberto orientados por IA, remediação de dívidas e governança em escala.
Aprenda como controlar riscos, proteger software criado por IA e manter o controle à medida que o desenvolvimento avança na velocidade da máquina. Receba as últimas notícias, insights de especialistas, recursos exclusivos e estratégias de líderes do setor, tudo gratuitamente.