Falso suporte de TI no Teams permite invasão total de empresas Golpistas fingem ser suporte no Teams para assumir controle remoto e invadir servidores corporativos. Entenda a ameaça e veja como se defender.
Uma nova campanha de intrusão cibernética operada por humanos está utilizando canais de comunicação corporativa para comprometer redes inteiras. Ao se passarem por técnicos de suporte ou agentes de helpdesk no Microsoft Teams criminosos convencem funcionários a conceder sessões de assistência remota. O acesso inicial, aparentemente inofensivo, funciona como porta de entrada para a execução de malwares avançados, movimentação lateral e reconhecimento aprofundado do ambiente interno de tecnologia da informação.
A armadilha da engenharia social no Microsoft Teams
O vetor inicial do ataque apoia-se inteiramente na manipulação psicológica de colaboradores. Criminosos que operam a partir de domínios ou diretórios externos iniciam chamadas de voz ou chats no Teams fingindo ser da equipe interna de TI. A abordagem utiliza pretextos urgentes, como a necessidade de instalar atualizações de segurança, reconfigurar filtros de spam ou validar contas prestes a serem desativadas. Em diversos cenários, os invasores recorrem ao vishing (phishing por voz) para transmitir maior autoridade e evitar registros textuais suspeitos.
Embora a plataforma emita alertas visíveis sobre o contato com usuários externos, os criminosos induzem o funcionário a ignorar as advertências. A vítima é orientada a abrir utilitários legítimos de suporte remoto, como a Assistência Rápida (Quick Assist), e fornecer o código de validação, transferindo o controle do desktop para o operador malicioso.
Do acesso remoto à execução do implante em Node.js
Assim que o controle interativo é estabelecido, o invasor executa comandos no PowerShell para baixar um pacote MSI malicioso hospedado em serviços de nuvem pública confiáveis. O arquivo é instalado silenciosamente em segundo plano, com argumentos que ocultam qualquer interface gráfica do usuário. Para evitar suspeitas, o instalador adota nomes rotineiros de atualizações, como “Hotfix” ou “devfix”.
Na sequência, o instalador descarrega uma versão portátil legítima do ambiente de execução Node.js diretamente de fontes oficiais e a salva em diretórios locais com permissão de gravação (LocalAppData). Um script carregador decodifica e executa um implante JavaScript altamente ofuscado diretamente na memória ou por meio de arquivos temporários com extensões atípicas, como.dat ou.tmp. Essa estratégia dribla soluções de segurança voltadas apenas para binários não assinados.
Persistência no sistema
Para manter o acesso ativo mesmo após a reinicialização da máquina, os operadores configuram mecanismos de inicialização automática no perfil do usuário comprometido. Isso ocorre por meio da pasta Inicializar (Startup) do Windows ou de entradas no Registro sob a chave Run frequentemente mascaradas sob a nomenclatura de processos legítimos, como “EdgeUpdate”.
Espionagem interna e avanço sobre o Active Directory
Com o implante ativo, o malware estabelece comunicação com o servidor de comando e controle (C2) por meio de requisições HTTPS criptografadas periódicas. Análises forenses identificaram ainda a presença de rotinas adormecidas preparadas para recuperar endereços de C2 atualizados a partir de contratos inteligentes na rede Ethereum servindo como redundância técnica.
A partir desse canal, o operador conduz uma série de ações interativas:
- Captura de tela: extração periódica da atividade visual do monitor do usuário, com imagens compactadas e convertidas em Base64 para envio ao servidor remoto.
- Evasão de defesas: sondagens para detectar antivírus instalados e checagem de adaptadores de vídeo para verificar se o malware está sendo executado em uma sandbox de análise.
- Mapeamento de rede: consultas minuciosas ao Active Directory via ADSI (Active Directory Service Interfaces), localizando servidores, contas de usuário e notas sensíveis nos atributos de configuração.
- Cargas secundárias: injeção de bibliotecas dinâmicas (DLLs) maliciosas através do utilitário nativo rundll32.exe.
Movimentação lateral em direção a ativos críticos
Diferente de ataques convencionais que se limitam a roubar senhas do navegador, essa campanha adota ações ativas direcionadas a ativos de alto valor. Utilizando o protocolo nativo de gerenciamento remoto WinRM (porta TCP 5985), o operador pivota do computador infectado em direção a controladores de domínio, servidores de bancos de dados e autoridades de certificação.
Esse comportamento reflete a preparação típica observada antes de incidentes de extorsão em larga escala, exfiltração massiva de dados confidenciais e implementação coordenada de ransomware por toda a infraestrutura corporativa.
Como mitigar e responder a essa ameaça
A neutralização desse vetor de intrusão exige a combinação de controles técnicos rigorosos e conscientização dos colaboradores:
- Restrição a comunicações externas: limitar o chat e chamadas externas no Microsoft Teams apenas a domínios confiáveis e parceiros homologados.
- Processos de validação de TI: estabelecer senhas ou códigos internos de autenticação para que os funcionários possam validar se o contato de suporte é verídico antes de aceitar qualquer comando ou sessão remota.
- Controle de ferramentas RMM: restringir e auditar o uso de softwares de assistência remota e bloquear instalações não autorizadas de pacotes MSI por usuários comuns.
- Endurecimento do WinRM: limitar as conexões remotas via TCP 5985 estritamente a estações de trabalho de administração dedicadas, alertando sobre conexões geradas a partir de contextos comuns de usuário.
- Regras de redução da superfície de ataque (ASR): ativar bloqueios que impeçam a criação de processos secundários a partir de interpretadores de script como PowerShell, WScript e cmd.