Campanha de phishing usa instaladores RMM para acesso remoto; 601 incidentes em 46 países

Uma campanha de phishing que usa instaladores legítimos de software de monitoramento e gerenciamento remoto (RMM) para obter acesso remoto não autorizado resultou ser muito mais ampla do que parecia inicialmente. Pesquisadores da ANY.RUN vincularam 601 incidentes a esta operação, que usa documentos falsos como senheço – desde formulários fiscais canadenses até avisos de envio, facturas ou notificações do Seguro Social Americano – e foi detectado em 46 países, com aproximadamente 45% do tráfego proveniente dos Estados Unidos. Os achados mostram um padrão de entrega rápido e descartável que complica a detecção à base de simples listas de bloqueio.

Tecnicamente, o engano segue uma cadeia repetivel: e-mail com arquivo ou link fraudulentos → página de phishing alojada em infraestruturas efímeras → download de um pacote comprimido ou instalador que instala ou instrue a instalação de software RMM legítimo. ANY.RUN documentou 425 URLs de kits de phishing distribuídos em 240 hosts distintos; 94% desses hosts esteve ativo apenas um dia, o que indica uma rotação maciça de infra-estruturas. Os atacantes usam plataformas de implantação que permitem criar sites públicos rapidamente —Vercel, GitHub Pages, Netlify — e também hospedam cargas em serviços de armazenamento como Amazon S3, Cloudflare R2, GitHub, DigitalOcean Spaces, Dropbox e GoFile.

Embora os domínios e acomodações mudem constantemente, os pesquisadores conseguiram agrupar múltiplos incidentes graças a impressões persistentes no kit de phishing: recursos compartilhados como o arquivo de fonte font1.woff2, uma imagem recorrente icons8-microsoft-word-94.png e a estrutura de entrega segura (secure.html que referencia project/*.zip). Essas peças atuam como indicadores mais estáveis dentro de uma topologia projetada para desaparecer aos poucos dias.

Por que funciona este método? Porque combina engenharia social com o abuso de software legítimo. Quando a vítima executa ou instala um cliente RMM — muitas vezes em um arquivo dentro de um ZIP protegido por senha para burlar filtros de correio — o atacante obtém uma conexão remota que normalmente permite escalar privilégios, mover lateralmente dentro de redes corporativas e exfiltrar dados. O risco não é apenas a perda de informação: os acessos remotos são uma porta de entrada normal para colocar ransomware, fraude financeira e compromissos a longo prazo de ambientes TI.

Os setores mais frequentemente observados incluem educação, tecnologia e administrações públicas, com presença relevante de banca, finanças e manufatura. Estas observações confirmam que os adversários priorizam setores com combinações de dados sensíveis, capacidades de pagamento e dependências operacionais em sistemas remotos.

Atos confirmados: ANY.RUN relatou 601 casos ligados à operação, atividade em 46 países, ~45% do tráfego ligado aos EUA, 425 URLs de kits em 240 hosts e 94% dos hosts observados por um só dia. Também é confirmada a rotação de infra-estruturas (Vercel, GitHub Pages, Netlify, etc.) e o uso de serviços de armazenamento para payloads. Estimações e incertezas: não há dados públicos verificados sobre o número total de vítimas afetadas ou sobre o ator ou grupos responsáveis; tampouco está quantificado o sucesso operacional (taxa de instalações efetivas) nem a proporção de intrusões que derivaram em incidentes maiores como ransomware.

As consequências práticas para organizações e usuários finais são claras: controle perdido sobre estações e servidores, possível exfiltração e utilização de acesso remoto para ataques posteriores. Além disso, a estratégia de rotação dificulta a contenção mediante apenas IOCs estáticos, porque os domínios e hosts desaparecem antes que as listas de bloqueio se atualizem.

Recomendações concretas e operacionais para equipamentos de segurança e leitores técnicos:

1) Priorizar detecção na cadeia de entrega e comportamento, não só em domínios. Procurar padrões repetidos como a sequência secure.html → project/*.zip, recursos estáticos comuns (p. ex. font1.woff2, icons8-microsoft-word-94.png) e downloads de arquivos comprimidos desde plataformas de implantação efímeras. Criar regras SIEM/EDR que correlacionem downloads de ZIPs provenientes do GitHub Pages, Vercel, Netlify ou outros hosts públicos com execução posterior de instaladores RMM.

2) Fortalecer controles na camada de correio. Bloquear ou marcar para revisão os anexos comprimidos protegidos com senha de remetentes externos; exigir verificação adicional (por exemplo, contacto fora da cadeia de correio) antes de permitir a sua abertura. Implementar políticas que restrinjam a execução automática de conteúdo baixado e desativem a extração silenciosa de arquivos de e-mails.

3) Aplicar princípios de zero confiança e hardening de endpoints. Restringir a instalação de software a listados aprovados; usar controles de elevação de privilégios e whitelisting de aplicações. Monitorizar processos que estabelecem conexões salientes incomuns e relacioná-las com processos de RMM ou instalações recentes. Registrar e alertar sobre parent-child process chains onde navegadores descarregam executáveis e lançam binários desconhecidos.

4) Activar detecção e resposta baseada em contexto. Sandboxes interativas que mostrem atividade de navegador, scripts, downloads e conexões (como as usadas pela ANY.RUN) ajudam a distinguir entre uso legítimo e abuso. Enriquecer alertas com dados de Threat Intelligence para correlacionar kits persistentes com novos domínios descartáveis.

5) Consciência prática para usuários finais. Não executar software de acesso remoto nem abrir arquivos comprimidos de remetentes não verificados; verificar legitimidade por canais alternativos (chamada a número oficial, portal corporativo). Para integradores e administradores, limitar o acesso RMM a janelas de manutenção e aplicar registros e autenticação multifator a sessões remotas.

Essas recomendações devem ser implementadas de forma product-agnostic: o relatório mostra que os atacantes trocam ferramentas e fornecedores, pelo que depende de bloqueios por vendedor deixam lacunas. Para melhor compreender a técnica de acesso remoto e a sua classificação em marcos de ameaça, você pode consultar a base ATT&CK do MITRE sobre software de acesso remoto ( https://attack.mitre.org/techniques/T1219/). Para referência sobre análise interativa da campanha e os indicadores agrupados, ver a plataforma de ANY.RUN ( https://any.run/).

Em suma, o elemento mais preocupante desta campanha não é a novidade das ferramentas, mas a combinação de engenharia social com infra-estruturas descartáveis e serviços legítimos como canais de entrega. Para se defender de forma eficaz, é necessário mudar o foco: de IOCs estáticos para detecção de cadeias de entrega e comportamento anómalo associado ao uso de RMM, e operacionalizar inteligência contextual que permita às equipes SOC distinguir entre administração legítima e abuso.