Golpes de suporte de TI no Microsoft Teams levam a ataques de ransomware Chaos

Atores de ameaças estão a fazer-se passar por técnicos de suporte de TI corporativos no Microsoft Teams para obter acesso remoto aos dispositivos dos funcionários e implementar o ransomware Chaos.

A Sophos está a monitorizar a campanha como STAC4749. A empresa de segurança observou dezenas de tentativas de ataques contra organizações nos Estados Unidos e no Canadá entre fevereiro e junho de 2026. Pelo menos três incidentes resultaram na encriptação por ransomware.

Atacantes fazem-se passar por equipa de TI no Microsoft Teams

Os atacantes contactaram os funcionários através de contas externas do Microsoft Teams. Durante os chats e chamadas de voz, apresentavam-se como técnicos de helpdesk ou membros do departamento de TI da empresa.

Alegavam depois que precisavam de aceder ao computador do funcionário para resolver um problema técnico. O seu objetivo era convencer o alvo a aprovar uma sessão de suporte remoto sem verificar o pedido através de um canal interno.

Assim que um funcionário aceitava o pedido, os atacantes ganhavam acesso direto ao dispositivo e começavam a instalar ferramentas adicionais.

RemSupp substitui o Microsoft Quick Assist em ataques posteriores

As primeiras versões da campanha dependiam fortemente do Microsoft Quick Assist, uma funcionalidade legítima de suporte do Windows que permite que outra pessoa veja ou controle um computador remotamente.

Quando o Quick Assist estava bloqueado ou indisponível, os atacantes instruíam as vítimas para instalar outro software de gestão remota. A partir de abril, passaram a utilizar cada vez mais o serviço baseado na cloud RemSupp.

A Sophos acredita que o RemSupp pode ter-se tornado a opção preferida porque menos listas de bloqueio de aplicações corporativas o reconheciam. A utilização de software legítimo de suporte remoto também ajudou os atacantes a evitar a implementação de ferramentas obviamente maliciosas durante a primeira fase do ataque.

PowerShell transfere um backdoor persistente

Depois de obterem acesso remoto, os atacantes utilizaram comandos do PowerShell para transferir um backdoor para a pasta %AppData% da vítima.

O malware recolhia informações sobre o sistema comprometido, criava mecanismos de persistência e mantinha o acesso após o término da sessão original do Teams ou de suporte remoto.

Para fazer a atividade parecer legítima, os atacantes criaram entradas de registo com nomes que se assemelhavam a componentes de áudio do Windows. Os nomes observados incluíam Realtek HD Audio, Realtek Audio UHD e WinAudio life2.

Estas entradas permitiam que o malware iniciasse automaticamente, ao mesmo tempo que dificultavam que os funcionários e administradores identificassem o processo suspeito.

Atacantes instalam várias ferramentas de acesso remoto

Nos incidentes que progrediram para ransomware, o grupo instalou aplicações de acesso remoto adicionais, incluindo o DWAgent e o AnyDesk.

Estas ferramentas forneciam um acesso de reserva caso os defensores interrompessem a ligação original. Os atacantes também tentaram ativar o Protocolo de Área de Trabalho Remota, o que poderia ajudá-los a aceder a outros sistemas e a movimentar-se na rede corporativa.

A Sophos observou alterações repetidas na cadeia de ataque entre fevereiro e maio. Os operadores ajustaram as suas ferramentas, comandos e métodos de persistência à medida que os produtos de segurança começaram a detetar as versões anteriores.

Ransomware Chaos encriptou vários sistemas em simultâneo

Pelo menos três ataques do STAC4749 resultaram na implementação do ransomware Chaos. Durante estes incidentes, o ransomware encriptou ficheiros em vários computadores comprometidos aproximadamente ao mesmo tempo.

As evidências de pelo menos um ataque sugerem que o grupo pode ter roubado dados corporativos antes de iniciar a encriptação. Isto permitiria aos atacantes pressionar a vítima tanto com a exposição de dados como com a interrupção do sistema.

A Sophos avalia que a campanha é motivada financeiramente. Os operadores podem implementar o ransomware eles próprios ou fornecer acesso a afiliados de ransomware separados após comprometer uma rede.

Outros grupos de ameaças também utilizaram o Microsoft Teams para engenharia social. O grupo MuddyWater, apoiado pelo estado iraniano, utilizou o Teams e atividade falsa de ransomware para encobrir operações de espionagem.

As campanhas relacionadas com o Chaos também utilizaram outras técnicas. Numa operação separada, o ransomware Chaos usou o msaRAT para disfarçar o tráfego malicioso dentro do Chrome e do Edge.

Como as organizações podem bloquear ataques de vishing no Teams

As empresas devem limitar as comunicações externas do Microsoft Teams ou monitorizar de perto as mensagens e chamadas de contas fora da organização.

Os funcionários nunca devem aprovar um pedido inesperado de suporte remoto sem o confirmar através de um método de contacto interno oficial. Os departamentos de TI também devem explicar claramente quais as ferramentas que os seus técnicos utilizam e como são iniciados os pedidos de suporte legítimos.

As equipas de segurança devem bloquear ou restringir o Quick Assist, RemSupp, AnyDesk, DWAgent e software semelhante em sistemas que não necessitem de administração remota.

As organizações devem monitorizar a atividade incomum do PowerShell, incluindo transferências inesperadas ou comandos codificados, bem como a instalação de aplicações de gestão remota novas ou não autorizadas. Estes comportamentos podem indicar que um atacante obteve acesso inicial e está a tentar estabelecer controlo sobre um sistema.

Devem também estar atentas a entradas de registo suspeitas que imitam software de áudio legítimo, tentativas de ativar o Protocolo de Área de Trabalho Remota e contas externas do Microsoft Teams que se fazem passar por equipa de suporte interna. Em conjunto, estes indicadores podem ajudar a identificar a engenharia social e a atividade pós-compromisso numa fase inicial da cadeia de ataque.

Noutras notícias de segurança, a Microsoft está a ter dificuldades em resolver vulnerabilidades identificadas pelo Claude Mythos da Anthropic. À medida que a investigação de segurança se torna mais automatizada, os atacantes também podem encontrar e explorar falhas de software mais rapidamente.

Via BleepingComputer