A campanha de phishing que aponta para hotéis e usa Calendly, Turnstile e TonRAT para infectar recepções

Desde abril de 2026 É detectada uma campanha de phishing dirigida a hotéis e organizações de hostelaria na Europa e na Ásia que aproveita um señuelo fotográfico para instalar um implante em máquinas de recepção, conforme coincidem relatos recentes. Os e-mails chegam com o remetente visível “Booking Manager (via Calendly)” e contêm queixas de hóspedes, inspecções ou ameaças reputacionais, uma abordagem destinada a provocar a abertura rápida por parte do pessoal frontsk.

O mais relevante não é apenas o gancho, mas a cadeia técnica: os atacantes usam a infraestrutura de Calendly e os direcionamentos do Google para passar verificações SPF/DKIM/DMARC — uma técnica que os analistas chamam authentication laundering — e levar o usuário a um domínio recém registrado que está atrás de um desafio Cloudflare Turnstile. Esse desafio atua como controle anti-análise e como filtro para impedir o estudo fácil do site por parte de defensores e sandboxes.

O ficheiro descarregado é um ZIP com atalhos (.lnk) que é feito passar por imagens; abri-los executa o PowerShell. Um programa que usa operações BigInt revela um URL secreto, desce um .ps1 para%TEMP% e exibe uma versão legítima de Node.js (v24.13.0) no espaço de utilizador para executar um implante de JavaScript conhecido como TonRAT. O malware resolve seus domínios de comando e controle usando a API da cadeia TON e estabelece um canal WebSocket cifrado, o que complica o bloqueio por listas estáticas de domínios.

Os sinais de compromisso observados incluem persistência dupla (uma entrada RunOnce em ProgramData e uma chave Run para Node.js), arquivos sob AppData\\Local\\Nodejs e tráfego saliente a portos não-padrão como 8443, 8445, 8453, 5555 e intervalos 56001–56003. Em alguns equipamentos também se detectou automação com navegadores em modo headless, consultas a serviços de geolocalização (ip-api.com) e comandos de desligamento forçado. Microsoft, SOC Prime e ITOCHU documentaram a cadeia LNK→PowerShell→Node.js; a intenção final dos atacantes ainda não está confirmada, mas o acesso é persistente e de baixo custo para o operador.

O que faz esta campanha especialmente perigosa: a combinação de autenticação legítima para a entrega, um desafio anti-análise no front-end e o uso de um runtime legítimo instalado em usuário faz com que a detecção baseada em assinaturas e em listas pretas seja insuficiente. Além disso, a resolução de C2 através da blockchain TON permite rotar domínios e dificulta a rastreabilidade tradicional.

Para equipes de segurança e administradores de hotéis, a prioridade deve ser a detecção e a contenção específicas: buscar processos node executando-se a partir de rotas de usuário, verificar entradas RunOnce em ProgramData e chaves Run relacionadas a Node.js, e rastrear descargas a partir de cadeias de Calendly→share.google→redireções para domínios .cfd. Também convém monitorar conexões salientes aos portos mencionados e a presença de processos que lancem navegadores com flags --headless -- no-sandbox. A eliminação incompleta deixa uma via de regresso se só se apagar metade da persistência.

Contenção operacional: isolar endpoints suspeitos, coletar evidências (voláteis e disco), desacoplar máquinas de recepção de sistemas críticos como PMS ou passarelas de pagamento, e executar buscas em EDR por padrões de PowerShell com descodificação incomum ou por instalações não padrão de Node.js em perfis de usuário. Após a contenção, há que rodar credenciais, rever acessos a contas de reservas e procedimentos de notificação, de acordo com as normas locais, se houver indícios de exfiltração.

Na prevenção, além de reforçar a formação ao pessoal sobre lures de reservas e avisos falsos, é imprescindível melhorar a engenharia de e-mail: aplicar regras que inspeccionem o conteúdo e a reputação de links, habilitar reescrita de links e sandboxing de downloads, e revisar logs de e-mail em busca de padrões de Calendly e redireções do Google para domínios novos. Não confie apenas que um e-mail passe SPF/DKIM/DMARC —esas verificações validam a rota de envio, não a intenção da mensagem.

A comunidade deve também adaptar-se a técnicas que usam infra-estruturas públicas e serviços legítimos como vetor de entrega; a defesa eficaz requer detecção baseada em comportamento e resposta rápida. Para entender tecnologias citadas nos ataques, você pode consultar a documentação de turnstiles do Cloudflare em Cloudflare Turnstile e as transferências oficiais de Node.js em Node.js. Para mais contexto sobre autenticação de correio e por que não é prova de confiança, ver DMARC.org.

Conclusão: Embora ainda não tenha sido verificado roubo maciço de dados ou um padrão de ransomware associado, a combinação de entrega legítima, persistência múltipla e C2 dinâmico torna esta campanha uma ameaça significativa para a hostelaria. A proteção eficaz exige detecção centrada no comportamento, revisões forenses completas de equipamentos de recepção e políticas operacionais que reduzam o risco sanitário e reputacional de abrir anexos inesperados.