O phishing deixou o e-mail e chegou ao Microsoft Teams
Durante anos, as empresas ensinaram seus funcionários a desconfiar de mensagens com remetentes desconhecidos, links inesperados e anexos suspeitos. Esse treinamento continua importante, mas os criminosos passaram a explorar um ambiente no qual muitas pessoas baixam a guarda: as plataformas corporativas de colaboração.
Uma campanha identificada pela Expel mostra como o Microsoft Teams pode ser usado como porta de entrada para ataques direcionados. Os criminosos se apresentam como integrantes do suporte de TI e convencem funcionários a instalar uma ferramenta aparentemente legítima. O resultado pode incluir roubo de credenciais do Windows, persistência no computador, execução remota de comandos e acesso a outros recursos da rede corporativa.
No centro dessa operação está o SynkLoader, um malware composto por diferentes módulos e capaz de atuar em várias etapas do comprometimento.
Um falso chamado de suporte
O ataque começa com uma conversa aparentemente normal no Teams. A vítima recebe uma mensagem de alguém identificado como “IT Service Desk”, nome compatível com um departamento real de tecnologia. O contato ocorre dentro de uma ferramenta usada diariamente para reuniões, comunicação interna e troca de arquivos.
Segundo a investigação, os criminosos utilizaram uma conta relacionada a um domínio padrão `onmicrosoft.com`. Em seguida, orientaram o funcionário a baixar um instalador MSI descrito como “PowerShell Cleaner”, supostamente destinado à manutenção do sistema.
O arquivo estava armazenado no Azure Blob Storage, serviço legítimo de armazenamento em nuvem da Microsoft. Essa escolha ajuda a reduzir a desconfiança: em vez de utilizar um endereço claramente malicioso, os invasores aproveitam uma infraestrutura reconhecida e normalmente permitida nos ambientes corporativos.
A sequência parece plausível para quem está diante da tela: Microsoft Teams, suporte técnico, Azure e uma ferramenta associada ao PowerShell. A combinação de marcas e serviços conhecidos cria uma aparência de legitimidade. Porém, por trás do instalador, está o SynkLoader.
A confiança virou parte do ataque
O aspecto mais relevante dessa campanha não é apenas o malware utilizado, mas o canal escolhido para distribuí-lo. Uma mensagem recebida por e-mail pode despertar desconfiança imediata. Já uma solicitação enviada pelo Teams tende a parecer mais próxima da rotina profissional.
O usuário está acostumado a receber orientações de colegas, gestores e técnicos pelo aplicativo. Por isso, a confiança depositada na plataforma acaba sendo transferida para a pessoa que está do outro lado da conversa.
Esse tipo de engenharia social não depende necessariamente de uma falha técnica no Teams. O criminoso explora hábitos, urgência e autoridade. Ao se apresentar como suporte, pode alegar que há uma atualização pendente, um problema de segurança ou uma necessidade de manutenção imediata.
Como o SynkLoader atua
Após a instalação, o SynkLoader pode executar diferentes funções no computador comprometido. A primeira delas é obter informações sobre o ambiente. Antes de avançar, o invasor precisa identificar o sistema operacional, o usuário conectado, os programas instalados, os privilégios disponíveis e possíveis ferramentas de proteção.
Essa etapa de reconhecimento ajuda a definir o caminho do ataque. Um computador pertencente a um administrador, por exemplo, pode oferecer mais oportunidades do que uma estação com permissões limitadas.
O malware também busca permanecer ativo no dispositivo. Para isso, pode utilizar mecanismos de persistência que permitam seu carregamento novamente após uma reinicialização. Dessa forma, o acesso não depende de a vítima executar o instalador uma segunda vez.
Roubo de senha com uma tela falsa
Entre os recursos associados à campanha está o PhishLocker, componente que imita uma tela legítima do Windows para capturar credenciais. A aparência familiar pode induzir o usuário a digitar sua senha sem perceber que os dados estão sendo enviados aos invasores.
O objetivo não é apenas descobrir uma combinação de usuário e senha. As credenciais podem ser utilizadas para acessar serviços internos, movimentar-se pela rede, explorar compartilhamentos e tentar comprometer outras contas.
Em ambientes corporativos, uma senha reutilizada ou associada a privilégios elevados aumenta significativamente o impacto do incidente. Mesmo uma conta comum pode servir como ponto inicial para novas tentativas de escalada de privilégio.
O computador como ponte para a rede
Depois de assumir o endpoint, os invasores podem utilizá-lo como ponto de apoio. A máquina comprometida passa a funcionar como uma ponte entre o atacante e recursos que não estão expostos diretamente à internet.
A partir dela, podem ser realizadas consultas internas, identificação de servidores, busca por compartilhamentos, coleta de documentos e tentativas de acesso a outros dispositivos. Esse movimento lateral costuma ser mais difícil de perceber quando ocorre com credenciais válidas e a partir de um computador pertencente à própria organização.
O SynkLoader também pode permitir a execução remota de comandos. Isso dá aos criminosos flexibilidade para instalar novos componentes, modificar configurações, coletar informações e adaptar o ataque conforme encontram obstáculos.
Em determinados casos, os invasores assumem o controle manual da máquina. A operação deixa de ser totalmente automatizada e passa a contar com interação direta, o que permite tomar decisões específicas para cada vítima e ambiente.
Há ransomware envolvido?
A presença do SynkLoader não significa, por si só, que o objetivo inicial seja executar ransomware. O malware pode atuar como carregador, facilitando a entrada e preparando o ambiente para outras ações.
Entretanto, o acesso obtido pode ser aproveitado posteriormente para implantação de ransomware, exfiltração de dados, espionagem ou fraude. Por isso, um incidente aparentemente limitado ao roubo de credenciais não deve ser tratado como um problema isolado.
A organização precisa investigar se houve movimentação lateral, criação de contas, execução de ferramentas administrativas, alterações em políticas de segurança e comunicação com servidores externos.
Por que o treinamento tradicional não basta
Campanhas de conscientização focadas apenas em e-mails precisam ser atualizadas. O phishing pode aparecer em chats corporativos, aplicativos de colaboração, sistemas de chamados, mensagens de texto e até reuniões virtuais.
Os funcionários devem aprender que nenhum canal interno é automaticamente confiável. Uma conta no Teams pode ser comprometida, falsificada ou criada especialmente para enganar usuários. O fato de a mensagem aparecer dentro de uma plataforma conhecida não confirma a identidade do remetente.
Também é importante estabelecer uma regra clara: equipes de TI não devem solicitar a instalação de ferramentas por meio de conversas improvisadas, sem registro ou validação independente. Quando houver necessidade legítima, o usuário deve confirmar a solicitação por um procedimento oficial.
Medidas para reduzir o risco
As empresas podem diminuir a exposição com controles técnicos e administrativos. Entre as medidas mais importantes estão:
– restringir quem pode iniciar conversas externas no Teams;
– revisar configurações de acesso entre usuários internos e externos;
– exigir autenticação multifator resistente a phishing;
– bloquear ou controlar a execução de instaladores MSI não autorizados;
– aplicar políticas de menor privilégio;
– monitorar o uso de PowerShell e ferramentas administrativas;
– registrar downloads e execuções originados de aplicativos de colaboração;
– criar um fluxo oficial para solicitações do suporte técnico;
– treinar funcionários para confirmar pedidos por um canal independente;
– testar regularmente procedimentos de resposta a incidentes.
As equipes de segurança também devem observar sinais como instalação repentina de programas, execução incomum do PowerShell, criação de tarefas persistentes, conexões para serviços de nuvem e tentativas de autenticação fora do padrão.
O papel do SOC e dos CISOs
Para o SOC, a detecção não pode se limitar ao recebimento de anexos e cliques em links de e-mail. É necessário correlacionar eventos de colaboração, identidade, endpoint e rede.
Uma mensagem suspeita no Teams pode parecer inofensiva quando analisada isoladamente. Porém, se for seguida pelo download de um MSI, pela execução do PowerShell, por uma tentativa de captura de credenciais e por conexões externas, o conjunto forma um indicador importante de comprometimento.
Já os CISOs precisam revisar as premissas dos programas de segurança. A pergunta não deve ser apenas “os funcionários reconhecem um e-mail falso?”, mas também “eles conseguem validar uma solicitação recebida em uma ferramenta corporativa aparentemente legítima?”.
Conclusão: qualquer canal pode ser explorado
O caso do SynkLoader mostra que a engenharia social está acompanhando os hábitos digitais das empresas. À medida que o e-mail se torna mais vigiado, os criminosos procuram espaços em que a confiança ainda é maior.
O Microsoft Teams não é, por si só, o problema. O risco surge quando identidade, permissões, instalação de software e comunicação interna não são devidamente controlados.
A principal lição é direta: uma mensagem dentro do ambiente corporativo não deve ser considerada segura apenas por estar ali. A validação da identidade, a confirmação da solicitação e o controle técnico sobre o que pode ser instalado são essenciais para impedir que uma conversa aparentemente rotineira se transforme em acesso à rede inteira.