Pesquisadores de cibersegurança identificaram uma campanha de phishing com tema do Microsoft Teams que usa iscas de “documento seguro” para distribuir ferramentas legítimas de monitoramento e gerenciamento remoto, conhecidas como RMM.
Em relatório publicado na semana passada, a ZeroBEC informou que a vítima foi direcionada, por meio de uma infraestrutura web comprometida, a uma página falsa da Microsoft Store que afirmava que o Microsoft Teams precisava ser atualizado antes que o documento compartilhado pudesse ser aberto.
O site falso do Teams em questão é “teamvem[.]com”.
O download ativo é usado para entregar o arquivo “supportdev.exe”, um carregador baseado em Inno Setup que inicia o PowerShell em uma janela oculta, baixa um instalador oficial do Level RMM e registra o endpoint com um segredo de inscrição controlado pelo atacante (“LEVEL_API_KEY=GxSCHE8EZwfyYN3iPQHPai8D”).
O mesmo comando do PowerShell também foi identificado baixando e implantando o ConnectWise ScreenConnect em paralelo, o que indica uma tentativa de instalar várias ferramentas RMM com o objetivo de estabelecer acesso remoto persistente.
Essa não é a primeira vez que threat actors abusam de ferramentas RMM em benefício próprio.
No início deste ano, a Microsoft alertou para múltiplas campanhas de phishing que usavam iscas de reuniões de trabalho e anexos em PDF para distribuir malware assinado, apelidado de TrustConnect, que então servia como ponte para o ScreenConnect, além de outros programas RMM, como Tactical RMM e MeshAgent.
Outra campanha documentada pela ZeroBEC em maio de 2026 envolveu o uso de e-mails de phishing que alegavam compartilhar documentos seguros para iniciar uma cadeia de ataque que implantava furtivamente backdoors RMM.
O mais recente conjunto de ataques de phishing recebeu o codinome Operation BlueDash, e a empresa de segurança atribui a campanha, com confiança moderada a alta, a um grupo de threat actors que opera na Nigéria, com base na análise da infraestrutura, do histórico de código e de um ambiente no GitHub usado para conduzir as campanhas.
A implantação de várias ferramentas RMM no mesmo host é vista como uma tentativa de criar acessos redundantes e aumentar a resiliência caso um dos programas seja detectado e removido do ambiente.
Depois disso, observou-se que os threat actors tentaram explorar o host infectado, executando comandos para verificar se ele estava pendente de reinicialização ou se o volume do sistema estava protegido, medir os perfis ativos do firewall, enumerar os membros do grupo local Administradores e identificar o nome desse mesmo grupo.
“Essa sequência sugere uma lista de verificação prática do operador: determinar o estado do sistema, entender a postura de criptografia e do firewall e identificar usuários locais privilegiados antes de decidir como prosseguir”, disse a ZeroBEC.
“Isso também oferece aos defensores uma oportunidade de detecção comportamental, porque os comandos se originam de um contexto RMM não autorizado, e não de um fluxo de trabalho de TI aprovado.”
Uma análise posterior da infraestrutura dos threat actors (“support[.]berrydev[.]xyz”) revelou um domínio do GitHub Pages (“berry4603.github[.]io”) e um repositório chamado “Bluedashltd”, que contém o código-fonte do phishing, a configuração CNAME e o payload do SupportDev.
O histórico de commits indica que a campanha está ativa desde pelo menos fevereiro de 2026, quando o repositório foi criado com a falsa página da Microsoft Store exibindo uma “atualização” para o Teams.
Além disso, um segundo repositório (“rustovni”), vinculado à mesma conta no GitHub, foi encontrado hospedando uma isca de reunião do Zoom, junto com seus componentes de entrega do payload.
O objetivo final, nesse caso, é baixar o agente do Tactical RMM a partir do release oficial no GitHub, instalá-lo no diretório temporário do Windows e registrar o host comprometido com o atacante usando um token de autenticação embutido.
A operação com tema do Zoom também sugere que os threat actors estão executando um esquema multimarcas, mantendo a estrutura central intacta, mas alterando a isca da aplicação corporativa, o host do payload e a plataforma de gerenciamento remoto.
A divulgação ocorre no momento em que a ZeroBEC detalhou o JIVS PhishKit, uma campanha coordenada de captura de credenciais de caixas de e-mail que mira vários usuários dentro da mesma organização para entregar uma página de phishing independente de provedor, capaz de atacar Microsoft 365, Google Workspace, cPanel, Roundcube, Zimbra e outras identidades de e-mail.
O artefato mais antigo relacionado à operação data de 21/08/2025.
“As mensagens usavam um remetente externo autenticado, mas sem relação com a organização, alertavam que a caixa de e-mail de cada destinatário havia violado a política e direcionavam os usuários a uma página PHP de phishing em tempo real no domínio corychase[.]org”, afirmou a empresa.
“A página de destino não era uma cópia da Microsoft.
Ela exibia um formulário genérico de ‘Session Expired’ que podia ser usado contra Microsoft 365, Google Workspace, webmail hospedado ou praticamente qualquer identidade corporativa.”
O kit foi projetado para desviar um endereço de e-mail corporativo e a senha digitada para essa caixa.
Não são exfiltrados cookies de sessão, tokens OAuth, códigos de autenticação multifator (MFA) ou sessões do navegador.
A divulgação também ocorre após a derrubada do kit de phishing como serviço (PhaaS) Kratos, anteriormente chamado Sneaky 2FA, pelas autoridades alemãs em cooperação com os Estados Unidos e a Indonésia, além da prisão de seu suposto desenvolvedor e administrador técnico.
A operação teria arrecadado mais de 300.000 euros, cerca de 342.000 dólares, desde 2024.
Acredita-se que mais de 1.800 organizações criminosas tenham usado o Kratos, resultando em cerca de 15.000 campanhas de phishing por mês.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...