O broker de acesso inicial KongTuke passou a usar o Microsoft Teams em ataques de engenharia social e consegue obter acesso persistente a redes corporativas em apenas cinco minutos.
O threat actor induz usuários a colarem um comando em PowerShell que, ao final, entrega o malware ModeloRAT, já identificado anteriormente em ataques do tipo ClickFix [1, 2].
Brokers de acesso inicial, ou IAB, como o KongTuke, normalmente vendem acesso a redes corporativas para operadores de ransomware, que usam esse acesso para implantar malware de roubo de arquivos e de criptografia de dados.
Criminosos têm adotado cada vez mais o Microsoft Teams em ataques, entrando em contato com funcionários e se passando por equipes de TI e de suporte.
As vítimas são convencidas a executar um comando malicioso em PowerShell em seus sistemas, o que instala o malware ModeloRAT.
Pesquisadores da ReliaQuest observaram essa atividade e afirmam que se trata de uma mudança de tática do KongTuke, que antes dependia apenas de iscas baseadas na web, como FileFix e CrashFix.
“Essa atividade no Teams, que parece complementar e não substituir a abordagem baseada na web, marca a primeira vez que os pesquisadores da ReliaQuest veem o KongTuke usar uma plataforma de colaboração para acesso inicial”, afirmou a empresa.
“Nos incidentes investigados, uma única conversa externa no Teams levou o operador de uma abordagem inicial a uma posição persistente em menos de cinco minutos.”
Segundo os pesquisadores, a campanha está ativa desde pelo menos abril de 2026, com o KongTuke alternando entre cinco tenants do Microsoft 365 para evitar bloqueios.
Para se passar por equipe interna de TI, o atacante usa truques com espaços em branco em Unicode para fazer com que o nome exibido pareça legítimo.
O comando malicioso em PowerShell compartilhado pelo Teams baixa um arquivo ZIP do Dropbox que contém um ambiente portátil do WinPython, o que acaba acionando o malware em Python ModeloRAT, identificado como Pmanager.py.
O malware coleta informações do sistema e do usuário, captura screenshots e pode exfiltrar arquivos do sistema de arquivos do host.
A ReliaQuest observa que a versão do ModeloRAT usada nesta campanha recente evoluiu em relação às operações anteriores, principalmente em três aspectos.
A arquitetura de C2 ficou mais resiliente, com um conjunto de cinco servidores, failover automático, caminhos de URL aleatórios e capacidade de autoatualização.
Também foram identificados múltiplos caminhos independentes de acesso, incluindo um RAT principal, uma reverse shell e um backdoor TCP, executados em infraestrutura separada para preservar o acesso caso um canal seja interrompido.
Além disso, os mecanismos de persistência foram ampliados com chaves Run, atalhos na pasta Startup, carregadores em VBScript e tarefas agendadas em nível de SYSTEM, que podem sobreviver a procedimentos padrão de limpeza.
Os pesquisadores destacam que a tarefa agendada não é removida pela rotina de autodestruição do implant, que apaga os outros mecanismos de persistência, e pode continuar ativa após reinicializações do sistema.
Para se defender contra ataques iniciados pelo Teams, a recomendação é restringir a federação externa no Microsoft Teams com allowlists para bloquear essas tentativas desde o início.
Além disso, administradores podem usar os indicadores de comprometimento disponíveis no relatório da ReliaQuest para caçar ataques, sinais de comprometimento e artefatos de persistência.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...