Threat actors estão se passando por equipes de suporte de TI em chamadas do Microsoft Teams para obter acesso remoto a dispositivos corporativos e distribuir o ransomware Chaos em ataques contra organizações da América do Norte.
A Sophos acompanha a campanha como STAC4749 e afirma que ela atingiu dezenas de organizações entre fevereiro e junho de 2026.
Pelo menos três dessas invasões levaram à instalação do ransomware Chaos, e, em um dos ataques, o intervalo entre o acesso inicial e a criptografia dos arquivos foi de menos de 17 horas.
Segundo a Sophos, cerca de 95% dos ataques tiveram como alvo organizações no Canadá, com 50%, e nos Estados Unidos, com 45%.
Os threat actors miraram empresas de diversos setores, mas serviços, manufatura, energia, construção e engenharia concentraram o maior número de ocorrências.
Os ataques começam com contas externas do Microsoft Teams que fingem ser pessoal do help desk ou do suporte de TI em chats e chamadas de voz direcionados a funcionários específicos.
As chamadas observadas pela Sophos duraram entre 90 segundos e mais de 20 minutos, embora a maioria tenha sido concluída em cerca de dois minutos e meio.
Em campanhas anteriores de engenharia social no Microsoft Teams, os threat actors costumavam criar seus próprios tenants no domínio onmicrosoft.com da Microsoft para iniciar a comunicação.
A campanha STAC4749 seguiu um caminho diferente e passou a criar domínios com temática de TI sob o domínio de topo ".top".
Entre os exemplos citados pela Sophos estão sequrityupdate[.]top, scan-security[.]top, system-connect[.]top, corp-connect[.]top e supportsoft[.]top.
Os atacantes combinaram esses domínios com falsos profissionais de suporte de TI usando os nomes Anthony Brooks, Dylan Harper, Ethan Parker e Jason Mitchell, que aparentam estar associados a domínios específicos ligados a esses aliases.
O objetivo das chamadas era convencer os funcionários a iniciar uma sessão de suporte remoto com o Microsoft Quick Assist ou a instalar outra ferramenta de monitoramento e gerenciamento remoto.
A Sophos afirma que os atacantes preferiram inicialmente o Quick Assist e recorreram à ferramenta de gerenciamento remoto em nuvem RemSupp quando o Quick Assist não estava disponível ou era bloqueado.
Com o tempo, porém, os threat actors passaram a usar principalmente o RemSupp a partir de abril, possivelmente porque ele tinha menos chance de aparecer nas listas corporativas de bloqueio de aplicativos.
Depois de obter acesso remoto aos dispositivos dos funcionários, os atacantes usaram PowerShell para baixar um backdoor para a pasta %AppData% do usuário comprometido.
O malware fazia o reconhecimento do sistema, estabelecia persistência e mantinha o acesso remoto dos atacantes.
Para fazer os mecanismos de persistência parecerem legítimos, entradas maliciosas no Registro foram disfarçadas como componentes de áudio da Realtek e do Windows, com nomes como "Realtek HD Audio", "Realtek Audio UHD" e "WinAudio life2".
Nos incidentes que depois levaram à distribuição do ransomware Chaos, os atacantes também instalaram softwares de acesso remoto como DWAgent ou AnyDesk como forma de acesso de contingência aos sistemas da rede.
Eles também tentaram ativar o Protocolo de Área de Trabalho Remota nos dispositivos comprometidos para se mover lateralmente entre os sistemas.
O relatório da Sophos diz que os atacantes modificaram continuamente a cadeia de ataque entre fevereiro e maio, alterando nomes de arquivos de malware, mecanismos de persistência e métodos de distribuição para evitar a detecção.
Pelo menos três comprometimentos associados ao STAC4749 acabaram em ataques com ransomware Chaos, e em pelo menos um caso os atacantes provavelmente roubaram dados antes de liberar o ransomware.
A Sophos afirma que, quando o ransomware foi acionado, ele criptografou arquivos simultaneamente em vários dispositivos comprometidos, e notas de resgate chamadas "readme.chaos.txt" foram criadas nos sistemas afetados.
As notas de resgate do Chaos trazem o mesmo texto, alegando que os dados foram roubados e alertando que eles seriam vazados caso o resgate não fosse pago.
Em um dos incidentes analisados pela Sophos, menos de 17 horas se passaram entre o primeiro contato pelo Microsoft Teams e a distribuição do ransomware.
"Diante do curto intervalo entre o acesso inicial e a criptografia, os analistas da Sophos avaliam com alta confiança que o STAC4749 foi uma operação motivada financeiramente, que distribuiu o ransomware diretamente ou atuou em coordenação com afiliados", afirmou a empresa.
A Sophos diz que a operação ransomware-as-a-service Chaos está ativa desde pelo menos fevereiro de 2025 e acredita-se que tenha ligação com ex-integrantes dos grupos BlackSuit e Royal.
Essas operações de ransomware também surgiram como desdobramentos da notória organização criminosa Conti.
Gangues de ransomware e outros threat actors têm usado cada vez mais o Microsoft Teams para se passar por funcionários de suporte de TI e convencer alvos a conceder acesso remoto aos seus dispositivos.
Em outubro de 2024, afiliados do ransomware Black Basta foram vistos inundando as caixas de entrada de funcionários com emails não solicitados antes de contatá-los pelo Microsoft Teams como usuários externos.
O Microsoft Teams também foi usado em ataques mais recentes atribuídos ao grupo de hackers iraniano patrocinado pelo Estado MuddyWater, em que os atacantes teriam usado o ransomware Chaos como isca para disfarçar uma operação de ciberespionagem.
A Sophos afirma não ter encontrado evidências que conectem a nova campanha STAC4749 ao MuddyWater.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...