Golpe de vishing via Microsoft Teams leva a ataques do ransomware Chaos em menos de 17 horas
Uma campanha rastreada como STAC4749 usa ligações no Microsoft Teams com atacantes se passando por suporte técnico para convencer funcionários a abrir sessão de acesso remoto via Quick Assist ou pela ferramenta RemSupp. A partir daí, os criminosos instalam um backdoor via PowerShell, se escondem em entradas de registro com nomes de componentes de áudio legítimos e adicionam AnyDesk ou DWAgent como acesso reserva antes de tentar movimento lateral. Em pelo menos um caso documentado, o intervalo entre o primeiro contato no Teams e a implantação do ransomware Chaos foi inferior a 17 horas.
O vetor de entrada dessa campanha é inteiramente de engenharia social: os atacantes abrem contato através de contas externas do Microsoft Teams, usando identidades falsas como "Anthony Brooks" ou "Dylan Harper" e se apresentando como suporte técnico interno. As ligações variam de 90 segundos a mais de 20 minutos, mas a maioria dura entre 2 e 2,5 minutos — tempo suficiente para convencer a vítima a abrir uma ferramenta de acesso remoto. Uma mudança notável em relação a campanhas anteriores de vishing corporativo é o uso de domínios como "sequrityupdate[.]top" e "system-connect[.]top" no lugar do tradicional onmicrosoft.com, provavelmente para escapar de filtros já treinados para reconhecer o padrão antigo.
O objetivo da ligação é sempre o mesmo: fazer a vítima iniciar uma sessão de suporte remoto. Os atacantes preferem o Microsoft Quick Assist por ser nativo do Windows e passar despercebido, mas migraram para uma ferramenta menos conhecida, o RemSupp, a partir de abril, quando perceberam que o Quick Assist já estava sendo bloqueado em várias listas corporativas de aplicativos permitidos — um sinal de que o grupo está testando e ajustando a operação de forma contínua.
Uma vez com acesso remoto à máquina, o roteiro técnico é rápido: PowerShell baixa um backdoor para a pasta %AppData%, o malware perfila o sistema e cria persistência via chaves de registro batizadas com nomes de componentes de áudio genuínos, como "Realtek HD Audio" ou "WinAudio life2", para passar despercebido numa inspeção rápida. Em seguida instalam AnyDesk ou DWAgent como acesso de reserva, caso a sessão inicial seja encerrada, e tentam habilitar o Remote Desktop Protocol para se mover lateralmente pela rede da vítima.
O que torna esse caso digno de nota não é o ransomware em si, mas a velocidade: das dezenas de organizações comprometidas por essa campanha, ao menos três tiveram a infecção evoluir para o ransomware Chaos, e em um incidente documentado o tempo entre a primeira ligação no Teams e a implantação do ransomware foi de menos de 17 horas — evidência de uma operação profissionalizada, otimizada para monetizar o acesso o mais rápido possível.
A defesa mais eficaz aqui é organizacional antes de técnica: políticas claras sobre quem pode iniciar contato de "suporte técnico" e por qual canal, bloqueio ou controle rígido do Quick Assist fora de fluxos formais de TI, e treinamento recorrente para que a equipe desconfie de qualquer ligação não solicitada pedindo acesso remoto. No lado técnico, vale monitorar domínios ".top" suspeitos, atividade anômala de PowerShell, criação de chaves de registro citando componentes de áudio e qualquer ativação inesperada de RDP, isolando o sistema afetado assim que houver suspeita.