Phishing contra o AnyDesk utiliza persistência de tarefas agendadas e exclusão de artefatos para evitar a detecção. Em uma nova campanha, criminosos transformam uma ferramenta de suporte remoto amplamente confiável em um backdoor discreto e permanente, voltado principalmente para espionagem e controle silencioso de estações de trabalho.
Em vez de recorrer a malwares sofisticados e facilmente detectáveis, os operadores exploram softwares de TI legítimos, combinando engenharia social, abuso de ferramentas comuns e técnicas de persistência para driblar antivírus e sistemas de monitoramento. O resultado é uma intrusão difícil de identificar, com forte foco em permanência e sigilo.
Alvo: setor aeroespacial e de aviação
A campanha, analisada por especialistas da Seqrite, tem como foco organizações russas dos setores aeroespacial e de aviação. A porta de entrada é um e-mail de phishing que se apresenta como uma cobrança ou fatura relacionada a atividades desse segmento, explorando a rotina administrativa das empresas para aumentar a credibilidade da mensagem.
O e-mail se passa por um instituto de pesquisa federal russo real, ligado a projetos aeroespaciais. Para tornar a fraude ainda mais convincente, os atacantes registram um domínio muito parecido com o da instituição verdadeira, tentando enganar tanto os usuários quanto verificações mais superficiais de segurança.
Outro indicador de campanha em massa é o fato de a mensagem ser enviada para destinatários em cópia oculta, sem um contato nominal ou individual. Em vez de focar um único alvo, os criminosos parecem disparar o mesmo e-mail para diversas entidades simultaneamente, numa tentativa de ampliar a superfície de ataque e maximizar a coleta de informações.
Pesquisadores observaram que o conjunto de técnicas, o foco geográfico e o perfil das organizações atacadas se assemelham aos métodos de um grupo de ameaça conhecido como Rare Werewolf, também chamado Librarian Ghouls, já associado a campanhas contra empresas industriais, de engenharia e instituições aeroespaciais na Rússia, Belarus e Cazaquistão.
Cadeia de infecção: do anexo à persistência silenciosa
O vetor inicial é um anexo identificado como fatura, compactado e protegido por senha. A senha é fornecida diretamente no corpo do e-mail, para que a vítima consiga abrir o arquivo sem dificuldade. Ao mesmo tempo, essa proteção impede que muitos mecanismos automáticos de segurança inspecionem o conteúdo antes da abertura, já que a análise exige a senha.
Ao extrair o conteúdo, o usuário encontra um executável que se passa por um documento ou instalador comum. Esse arquivo foi empacotado com uma ferramenta legítima de criação de instaladores, o que reduz as chances de alerta imediato por parte de soluções de segurança baseadas em reputação.
Durante a execução, o instalador deposita diversos arquivos em uma pasta oculta no sistema, evitando chamar a atenção do usuário. Paralelamente, é exibido um PDF falso que imita uma fatura ou documento de cobrança real, reforçando a ilusão de legitimidade e diminuindo as suspeitas de que algo malicioso esteja ocorrendo em segundo plano.
Uso encadeado de scripts e carregamento da payload
A partir desse ponto, entra em ação uma cadeia de arquivos em lote (scripts .bat) que são executados sequencialmente. O primeiro deles estabelece comunicação com um servidor remoto controlado pelos atacantes para baixar um segundo arquivo, também protegido por senha, que contém a carga útil real da operação.
Esse segundo pacote, ao ser descompactado, entrega um conjunto de componentes fundamentais para o ataque:
– Uma versão portátil do AnyDesk, que dispensa instalação tradicional;
– Uma ferramenta de linha de comando para envio de e-mails via SMTP;
– Um utilitário de compressão para criar e manipular arquivos protegidos por senha;
– Um pequeno programa chamado Tray Minimizer, usado para ocultar janelas de aplicativos da visualização do usuário.
Antes de prosseguir com a configuração final, o script faz uma pausa proposital de cerca de um minuto. Essa espera é possivelmente projetada para driblar sandboxes e outros mecanismos de análise automatizada que monitoram apenas um curto intervalo após a execução de um arquivo suspeito.
Configuração furtiva do AnyDesk
Passado esse intervalo, o script inicia a preparação do AnyDesk para uso clandestino. A ferramenta é configurada com uma senha de acesso predefinida, permitindo que o invasor se conecte remotamente à máquina comprometida sem gerar solicitações visíveis ao usuário. Assim, o controle remoto ocorre de forma totalmente silenciosa.
O AnyDesk passa a ser executado em segundo plano, com ajuda do Tray Minimizer, que reduz ou oculta sua presença na área de trabalho e na bandeja do sistema. Para o usuário comum, a máquina parece estar em funcionamento normal, sem qualquer janela ou pop-up indicando sessão remota ativa.
Na sequência, os arquivos de configuração do AnyDesk – incluindo parâmetros de conexão, certificados e demais ajustes – são reunidos e comprimidos em um novo arquivo protegido por senha. Esse conjunto de dados é valioso, pois contém todas as informações necessárias para que os atacantes mantenham o acesso posteriormente ou o reproduzam em outros ambientes.
Exfiltração de configurações via e-mail
Com o pacote de configurações pronto, o script invoca a ferramenta de e-mail em linha de comando incluída no ataque. Usando esse utilitário SMTP legítimo, o arquivo protegido é enviado automaticamente para um endereço controlado pelos criminosos.
Esse passo cumpre duas funções importantes:
1. Garante que os operadores tenham uma cópia segura das credenciais e configurações do AnyDesk implantado naquela máquina;
2. Permite que o controle remoto seja organizado e gerenciado de forma centralizada, fora da máquina da vítima, facilitando futuras conexões e movimentações laterais na rede.
Como todo o processo utiliza ferramentas aparentemente legítimas – uma solução de acesso remoto conhecida, um cliente SMTP comum e utilitários de compressão – a detecção pela maioria das soluções de segurança tradicionais se torna mais complexa, principalmente se não houver monitoramento comportamental adequado.
Persistência via tarefas agendadas
O elemento central de persistência da campanha é o uso das tarefas agendadas do sistema operacional. O script cria uma nova tarefa no Agendador de Tarefas do Windows, cuidadosamente nomeada e configurada para se passar por um processo de atualização rotineiro de software ou de manutenção do sistema.
Essa tarefa é programada para iniciar o componente oculto na bandeja do sistema responsável por garantir que o AnyDesk seja executado automaticamente em determinados horários ou eventos, como o logon do usuário ou a inicialização da máquina. Assim, mesmo que o computador seja reiniciado, o backdoor permanece ativo e funcional, sem exigir nova interação do usuário.
Ao utilizar um recurso nativo do sistema para manter a persistência, os atacantes evitam técnicas mais chamativas, como modificações diretas em chaves de inicialização do registro ou instalação de drivers suspeitos. Isso reduz a chance de geração de alertas e dificulta o trabalho de analistas de segurança que buscam padrões de ataque mais tradicionais.
Remoção de rastros e limpeza de artefatos
Depois de configurar a tarefa agendada e confirmar o funcionamento do AnyDesk em modo furtivo, os scripts iniciam uma fase de limpeza. Arquivos temporários, instaladores intermediários, scripts em lote e outros artefatos usados durante a infecção são excluídos sistematicamente.
Essa remoção de vestígios tem o objetivo de deixar na máquina apenas o mínimo necessário para manter o acesso remoto – principalmente a cópia do AnyDesk e o agendamento que garante sua execução contínua. Com menos arquivos suspeitos espalhados pelo disco, diminui a probabilidade de que um analista, auditoria interna ou varredura de rotina identifique a presença da intrusão.
O resultado final é um sistema aparentemente “limpo”, no qual quase nada denuncia que houve uma sequência complexa de execução de scripts, download de payloads e exfiltração de configurações. O único elemento de fato ativo é um software de suporte remoto comum, amplamente utilizado em ambientes corporativos legítimos.
Indicadores de Comprometimento (IoCs) e desafios de detecção
Embora os especialistas tenham identificado diversos Indicadores de Comprometimento específicos – como nomes de tarefas, caminhos de instalação, hashes de arquivos e domínios maliciosos – o caráter mutável da campanha indica que esses elementos podem ser rapidamente alterados para driblar listas de bloqueio.
O principal desafio, portanto, não é apenas reconhecer artefatos estáticos, mas monitorar comportamentos anômalos, como:
– Execução silenciosa de ferramentas de acesso remoto fora dos padrões da organização;
– Criação de tarefas agendadas recentes com nomes que imitam processos de sistema;
– Uso incomum de utilitários de compressão e envio de arquivos protegidos por senha;
– Conexões de saída persistentes para endereços desconhecidos, iniciadas a partir de processos que aparentam ser legítimos.
Soluções de segurança baseadas apenas em assinaturas tendem a ter dificuldade diante desse tipo de ataque, que abusa intensamente de recursos e programas comuns de TI em vez de malwares dedicados.
Por que ataques com ferramentas legítimas são tão perigosos?
A estratégia de “living off the land” – ou seja, explorar o máximo possível ferramentas e funcionalidades já presentes no sistema operacional ou amplamente aceitas em ambientes corporativos – torna a detecção muito mais complexa.
No caso dessa campanha, quase tudo pode ser explicado, à primeira vista, como uso normal:
– AnyDesk é amplamente utilizado por times de suporte e prestadores de serviço;
– Clientes SMTP em linha de comando são comuns em rotinas de automação;
– Utilitários de compressão e arquivos protegidos por senha fazem parte do dia a dia de muitas empresas.
O que diferencia o uso legítimo do malicioso é o contexto: horários de atividade, padrões de acesso, origem dos e-mails, forma de instalação, ausência de registros de abertura de chamados de suporte e outras inconsistências. Sem observabilidade avançada e correlação de eventos, esses sinais se perdem no ruído do ambiente.
Medidas de prevenção e boas práticas
Para reduzir o risco de ser vítima de campanhas semelhantes, organizações podem adotar uma combinação de controles técnicos e medidas de conscientização:
1. Restrição de ferramentas de acesso remoto
Definir políticas claras sobre quais softwares de acesso remoto podem ser usados, em quais máquinas e por quem. Sempre que possível, limitar o uso de versões portáteis e exigir instalação centralizada e gerenciada.
2. Monitoramento do Agendador de Tarefas
Auditar regularmente tarefas recém-criadas, alterações em tarefas existentes e padrões suspeitos de execução. Tarefas com nomes parecidos com processos de sistema, mas criadas recentemente, devem ser investigadas.
3. Política para arquivos protegidos por senha
Tratar anexos protegidos por senha com atenção redobrada, principalmente quando relacionados a temas financeiros ou de cobrança. Sempre que viável, exigir canais seguros conhecidos ou portais autenticados para troca de documentos sensíveis.
4. Hardening de e-mail e análise de domínios
Verificar se o domínio de origem corresponde exatamente à organização que supostamente enviou a mensagem. Domínios recém-criados ou com pequenas variações ortográficas são forte indicativo de fraude.
5. Detecção baseada em comportamento
Implementar soluções capazes de identificar comportamentos anômalos, como execução súbita de AnyDesk em servidores ou estações onde ele não é normalmente utilizado, ou conexões remotas fora dos horários de expediente.
6. Treinamento contínuo de usuários
Promover programas de conscientização em segurança da informação, com foco em phishing, anexos protegidos por senha, verificação de remetentes e procedimentos internos para validação de cobranças e faturas.
Lições para equipes de segurança
A campanha contra o AnyDesk mostra como atacantes conseguem combinar técnicas relativamente simples para montar uma operação sofisticada de persistência e espionagem. Não há exploração de vulnerabilidades zero-day nem malwares complexos; o ponto forte do ataque está no planejamento da cadeia de execução, no uso de ferramentas legítimas e na preocupação com a limpeza de rastros.
Para os times de segurança, isso reforça a necessidade de:
– Ir além da mera assinatura de vírus e incluir análises comportamentais, telemetria detalhada e correlação de eventos;
– Manter inventários atualizados de softwares autorizados em cada segmento da rede;
– Implementar revisões periódicas de tarefas agendadas, serviços em execução e ferramentas remotas instaladas;
– Estabelecer processos formais de verificação de e-mails envolvendo finanças, contratos e dados sensíveis.
Ao final, o caso ilustra como uma simples “fatura” em anexo – algo corriqueiro na rotina de qualquer empresa – pode ser o ponto de partida para um acesso remoto persistente e invisível, sustentado por tarefas agendadas e mascarado pelo uso de softwares amplamente confiáveis.