Phishing explora ferramentas RMM legítimas para assumir contas bancárias empresariais
Pesquisadores da Fortra identificaram um aumento de 475% em campanhas de phishing que abusam de ferramentas legítimas de monitoramento e gestão remota (RMM), como o AnyDesk, para comprometer contas bancárias de empresas na América do Norte. A vítima é atraída por um alerta falso sobre a conta e, ao clicar em um botão de “chat ao vivo” em um site clonado do banco, baixa automaticamente o instalador do RMM, dando acesso remoto total ao atacante.
Esse golpe é um exemplo claro de como o antifraude baseado em reputação de software pode ser contornado: ferramentas de RMM como AnyDesk são amplamente usadas por suporte técnico legítimo, então antivírus e filtros corporativos tendem a não bloquear sua instalação, mesmo quando baixada de um contexto malicioso. Isso dá ao atacante uma vantagem decisiva sobre a detecção tradicional baseada em assinatura de malware, já que nenhum arquivo malicioso “clássico” chega a rodar — é a ferramenta legítima que faz o trabalho sujo.
O fluxo do ataque é desenhado para gerar urgência e induzir erro: a vítima recebe uma ligação, SMS ou e-mail alertando sobre um problema na conta bancária, é direcionada a um site que imita a página do banco e, ao buscar ajuda pelo botão de chat, o site identifica o sistema operacional e entrega o instalador do RMM apropriado. A partir daí, o atacante tem controle remoto da máquina e pode operar a sessão bancária já autenticada da vítima, inclusive contornando MFA porque está usando o dispositivo e a sessão legítimos, não tentando logar de fora.
Para reconhecer o ataque, o sinal mais forte é o próprio fluxo: nenhum banco legítimo pede para o cliente instalar um software de acesso remoto para resolver um problema de conta — esse é, por si só, motivo para desconfiar e interromper o contato. Downloads automáticos iniciados a partir de um botão de “suporte” ou “chat” também são atípicos de páginas bancárias reais, que normalmente não oferecem instalação de software de terceiros nesse contexto.
Na prevenção corporativa, a medida mais eficaz é lista de permissão (allowlist) de ferramentas RMM autorizadas pela própria empresa, bloqueando a execução de instaladores de RMM não aprovados via política de endpoint, complementada por bloqueio de downloads automáticos no navegador e treinamento específico das equipes financeiras sobre esse vetor. Quem suspeitar de ter instalado uma dessas ferramentas por engano deve desconectar a máquina da rede, encerrar a sessão remota, trocar as credenciais bancárias por outro dispositivo limpo e notificar o banco para monitorar transações atípicas na conta.