Hackers usam chamadas do Microsoft Teams para instalar ferramentas RMM e distribuir o trojan EtherRAT
Criminosos digitais passaram a explorar algo que, para a maioria dos profissionais, é parte banal da rotina: uma chamada de voz pelo Microsoft Teams. Por meio desse canal, eles conseguem burlar proteções corporativas, convencer usuários a instalar ferramentas de acesso remoto e, por fim, implantar um cavalo de Troia furtivo chamado EtherRAT.
A campanha combina engenharia social bem elaborada com softwares legítimos de suporte remoto, o que faz todo o processo parecer apenas mais uma interação comum com a equipe de TI. À primeira vista, nada foge do normal: um e-mail, uma pesquisa interna, uma chamada de suporte. Mas, por trás dessa fachada, um simples compartilhamento de tela acaba dando controle total da máquina ao atacante.
O ataque começa com um e-mail de phishing, apresentado como uma suposta “Pesquisa de Funcionários” ou outro tema interno plausível, acompanhado de um arquivo PDF malicioso. Assim que o colaborador abre o anexo, pouco tempo depois recebe uma ligação inesperada no Microsoft Teams, de alguém que se apresenta como “Administrador de Sistemas” ou integrante do time de TI.
Embora o chamador pertença a um locatário externo do Microsoft 365 – o que faz o Teams exibir o alerta “Externo desconhecido” – muitos usuários ignoram o aviso, sobretudo quando acreditam estar tratando de um assunto corporativo urgente ou relacionado à própria segurança da conta. Essa combinação de narrativa convincente e contexto aparentemente legítimo reduz drasticamente a desconfiança da vítima.
Pesquisadores da Unit 42, equipe de inteligência de ameaças da Palo Alto Networks, observaram que a conta usada pelos invasores estava associada a um domínio cuidadosamente construído para se passar por endereço oficial de suporte técnico. Pequenas variações no nome, muitas vezes imperceptíveis à primeira vista, tornavam a personificação bastante crível. Esse detalhe foi suficiente para que várias vítimas aceitassem a chamada e dessem sequência às instruções do fraudador.
De acordo com os analistas, o caso mostra como a confiança depositada diariamente em ferramentas de colaboração – como e-mail corporativo, mensageria e videoconferência – pode ser explorada com pouca sofisticação técnica, mas com grande eficácia psicológica. O alvo não é, em primeiro lugar, o sistema: é o comportamento do usuário.
Uma vez que a vítima atende a ligação, o golpista conduz a conversa como se fosse um procedimento rotineiro de suporte. Ele solicita que o usuário ative o compartilhamento de tela no Microsoft Teams, sob o pretexto de “verificar uma falha”, “validar configurações de segurança” ou “confirmar anomalias detectadas no acesso”. Esse passo é decisivo: com a tela compartilhada e, em alguns casos, com o controle remoto concedido, o invasor passa a operar praticamente como se estivesse diante do computador.
A partir daí, o criminoso orienta a pessoa a instalar ferramentas de acesso remoto legítimas – conhecidas como RMM (Remote Monitoring and Management) ou softwares de suporte como aqueles usados em help desks reais. Eles utilizam nomes amplamente conhecidos no mercado, o que ajuda a diminuir suspeitas. No olhar da vítima, trata-se apenas de um técnico de TI pedindo a instalação de um programa comum para corrigir um problema.
Com o acesso remoto garantido por uma ferramenta legítima, o atacante baixa e executa um instalador MSI malicioso. Esse instalador, por sua vez, faz algo engenhoso: ele adiciona um ambiente de execução Node.js totalmente legítimo ao dispositivo comprometido. Como Node.js é amplamente usado em contextos corporativos e de desenvolvimento, sua presença não costuma ser automaticamente vista como ameaça por soluções de segurança.
Dentro desse instalador, encontram-se cargas maliciosas criptografadas. Após a instalação do Node.js, o próprio pacote passa a descriptografar e acionar esses componentes, culminando na implantação do malware EtherRAT. Como todo o processo se apoia em elementos reconhecidos – um instalador MSI, um runtime legítimo, ferramentas de suporte conhecidas – muitos produtos de segurança de endpoint têm dificuldade em identificar esta cadeia de eventos como maliciosa.
EtherRAT é um trojan de acesso remoto (RAT) multiplataforma escrito integralmente em Node.js. Essa arquitetura o torna altamente flexível e adaptável a diferentes sistemas operacionais. Uma vez ativo na máquina, ele consegue executar comandos arbitrários, criar, mover ou excluir arquivos, roubar dados sensíveis, registrar teclas digitadas e manter presença persistente no sistema, mesmo após reinicializações.
Uma das características mais peculiares do EtherRAT é o uso de contratos inteligentes na rede Ethereum para obter o endereço de seu servidor de comando e controle (C2). Em vez de depender de um domínio estático ou de uma infraestrutura tradicional de C2 – que pode ser desligada por provedores ou bloqueada por listas de reputação – o malware consulta um contrato na blockchain para recuperar instruções, o que torna a desativação da infraestrutura de comando muito mais complexa.
Pesquisas anteriores já haviam associado o EtherRAT a operações possivelmente patrocinadas por Estados-nação, em ataques que exploraram vulnerabilidades críticas específicas. Com o tempo, contudo, a ferramenta parece ter migrado para o ecossistema do crime cibernético mais amplo, sendo compartilhada, vendida em fóruns clandestinos ou reutilizada por diferentes grupos. O fato de a Unit 42 ter encontrado nove versões distintas do instalador em um diretório aberto do servidor do atacante indica um desenvolvimento ativo, com constantes ajustes e melhorias.
Esse cenário reforça que não se trata de um incidente isolado. O Microsoft Teams vem sendo alvo recorrente de golpes ao longo dos últimos meses, especialmente aqueles focados em falsificação de identidade. Em diversas campanhas, os criminosos primeiro sobrecarregam as caixas de e-mail com mensagens falsas para estabelecer um contexto, e em seguida entram em contato via Teams, fingindo ser funcionários internos, integrantes de RH, finanças ou TI, para tornar a abordagem ainda mais convincente.
A pergunta que naturalmente surge é: por que essas chamadas falsas de suporte técnico ainda funcionam tão bem? A resposta está em uma combinação de fatores humanos e organizacionais. Muitos usuários:
– Não conhecem em detalhes os procedimentos oficiais do time de TI.
– Acreditam que a urgência de uma suposta falha de segurança justifica atropelar protocolos.
– Sentem-se inseguros tecnicamente e tendem a seguir cegamente orientações “especializadas”.
– Assumem que, se a comunicação ocorre por um canal corporativo (como o Teams), ela é automaticamente confiável.
Além disso, em ambientes de trabalho remotos ou híbridos, a dependência de ferramentas de colaboração é tão grande que qualquer alerta envolvendo “acesso suspeito”, “bloqueio de conta” ou “risco de perda de dados” acaba ganhando grande poder de persuasão. Os criminosos se aproveitam desse contexto para pressionar a vítima com frases como “precisamos resolver isso agora, ou sua conta será bloqueada” ou “se não concluirmos esse procedimento, o incidente pode afetar outros setores”.
Outro ponto crítico é a falta de treinamento recorrente. Mesmo em empresas que promovem conscientização em segurança, muitas vezes o foco fica preso ao phishing tradicional via e-mail, sem abordar ataques sociais por voz ou videochamada. O resultado é que o usuário até desconfia de links estranhos, mas não imagina que uma ligação via Teams, com logotipo da empresa e ambiente familiar, possa fazer parte de um golpe.
Para reduzir a eficácia desse tipo de ataque, algumas práticas de segurança se tornam essenciais:
1. Políticas claras de contato da área de TI
A organização deve definir e divulgar regras objetivas sobre como o time de suporte entra em contato com os usuários: por quais canais, em que horários, com que tipo de mensagem. Se o procedimento padrão nunca inclui ligações surpresa pedindo instalação de software, qualquer desvio passa a soar suspeito.
2. Verificação de identidade em múltiplos canais
Sempre que um “técnico” pedir algo sensível – como compartilhamento de tela, instalação de ferramenta RMM ou fornecimento de senha – o usuário deve ser orientado a validar a identidade por outro canal oficial, como o telefone interno ou o portal de chamados da empresa.
3. Bloqueio e monitoramento de locatários externos
Configurar o Microsoft 365 e o Teams para restringir ou, ao menos, monitorar com rigor interações com domínios externos. Onde for necessário manter comunicação com parceiros, usar listas de permissões bem controladas.
4. Controle de ferramentas de acesso remoto
A TI deve definir quais softwares de acesso remoto são autorizados e bloqueá-los por padrão quando forem instalados sem aprovação. Ferramentas RMM não homologadas precisam ser detectadas e removidas automaticamente.
5. Endurecimento de endpoints e detecção comportamental
Mesmo quando o atacante utiliza softwares legítimos, a sequência de eventos – como a instalação súbita de um runtime Node.js seguida da execução de scripts desconhecidos – pode gerar alertas baseados em comportamento, e não apenas em assinaturas.
6. Treinamentos frequentes e realistas
Campanhas de conscientização devem incluir simulações que envolvam chamadas de voz, mensagens em ferramentas corporativas e tentativas de impersonação de times internos, para que o colaborador reconheça os sinais de alerta na prática.
Do ponto de vista técnico, equipes de segurança também devem estar atentas a Indicadores de Comprometimento (IoCs) associados ao EtherRAT e às cadeias de ataque que o distribuem. Isso inclui:
– Binários MSI suspeitos e fora do padrão de software da organização.
– Processos Node.js executando em máquinas que não deveriam usar esse runtime.
– Conexões de saída a endereços ou padrões de tráfego associados a contratos inteligentes usados para C2.
– Criação de novos serviços, tarefas agendadas ou chaves de registro destinados a garantir persistência.
Ainda que nem sempre seja possível depender apenas de IoCs estáticos – já que muitos deles mudam rapidamente – eles são úteis como parte de uma estratégia mais ampla de monitoramento, caçadas proativas a ameaças e resposta a incidentes.
Por fim, é importante entender que esse tipo de ataque não mira apenas grandes corporações globais. Qualquer empresa que utilize o Microsoft 365, o Teams ou ferramentas similares pode ser alvo, inclusive organizações de médio e pequeno porte, que muitas vezes contam com estruturas de segurança mais enxutas. A combinação de engenharia social, abuso de softwares legítimos e uso de infraestrutura descentralizada (como contratos na blockchain) torna campanhas com EtherRAT e ferramentas similares especialmente perigosas.
Refinar processos internos, fortalecer a cultura de segurança e adotar soluções capazes de enxergar além de simples assinaturas de malware são passos fundamentais para conter essa nova onda de golpes que transformam uma chamada cotidiana de suporte em porta de entrada para comprometimentos profundos na rede corporativa.