Golpes de suporte de TI no Microsoft Teams levam a ataques de ransomware Chaos

Agentes de ameaça estão a fazer-se passar por técnicos de suporte de TI empresariais no Microsoft Teams para obter acesso remoto aos dispositivos dos funcionários e implementar o ransomware Chaos.

A Sophos monitoriza a campanha como STAC4749. A empresa de segurança observou dezenas de tentativas de ataque contra organizações nos Estados Unidos e no Canadá entre fevereiro e junho de 2026. Pelo menos três incidentes terminaram com a encriptação por ransomware.

Atacantes fazem-se passar por equipa de TI no Microsoft Teams

Os atacantes contactaram os funcionários através de contas externas do Microsoft Teams. Durante conversas por chat e chamadas de voz, apresentavam-se como técnicos de helpdesk ou membros do departamento de TI da empresa.

Em seguida, alegavam que precisavam de acesso ao computador do funcionário para resolver um problema técnico. O seu objetivo era persuadir o alvo a aprovar uma sessão de suporte remoto sem verificar o pedido através de um canal interno.

Assim que um funcionário aceitava o pedido, os atacantes obtinham acesso direto ao dispositivo e começavam a instalar ferramentas adicionais.

RemSupp substitui a Assistência Rápida da Microsoft em ataques posteriores

As primeiras versões da campanha dependiam fortemente da Assistência Rápida da Microsoft, uma funcionalidade legítima de suporte do Windows que permite a outra pessoa ver ou controlar um computador remotamente.

Quando a Assistência Rápida estava bloqueada ou indisponível, os atacantes instruíam as vítimas a instalar outro software de gestão remota. A partir de abril, passaram a recorrer cada vez mais ao serviço baseado na nuvem RemSupp.

A Sophos acredita que o RemSupp pode ter-se tornado a opção preferida porque menos listas de bloqueio de aplicações empresariais o reconheciam. A utilização de software de suporte remoto legítimo também ajudou os atacantes a evitar a utilização de ferramentas obviamente maliciosas durante a primeira fase do ataque.

PowerShell descarrega um backdoor persistente

Após obterem acesso remoto, os atacantes utilizaram comandos do PowerShell para descarregar um backdoor para a pasta %AppData% da vítima.

O malware recolheu informações sobre o sistema comprometido, criou mecanismos de persistência e manteve o acesso após o término da sessão original do Teams ou do suporte remoto.

Para fazer a atividade parecer legítima, os atacantes criaram entradas de registo com nomes que se assemelhavam a componentes de áudio do Windows. Os nomes observados incluíam Realtek HD Audio, Realtek Audio UHD e WinAudio life2.

Estas entradas permitiam que o malware iniciasse automaticamente, ao mesmo tempo que dificultavam a identificação do processo suspeito por parte dos funcionários e administradores.

Atacantes instalam várias ferramentas de acesso remoto

Em incidentes que progrediram para ransomware, o grupo instalou aplicações de acesso remoto adicionais, incluindo DWAgent e AnyDesk.

Estas ferramentas forneciam acesso de reserva caso os defensores interrompessem a ligação original. Os atacantes também tentaram ativar o Protocolo de Ambiente de Trabalho Remoto, que os poderia ajudar a aceder a outros sistemas e a moverem-se pela rede empresarial.

A Sophos observou alterações repetidas na cadeia de ataque entre fevereiro e maio. Os operadores ajustaram as suas ferramentas, comandos e métodos de persistência à medida que os produtos de segurança começaram a detetar as versões anteriores.

Ransomware Chaos encriptou vários sistemas em simultâneo

Pelo menos três ataques da campanha STAC4749 resultaram na implementação do ransomware Chaos. Durante estes incidentes, o ransomware encriptou ficheiros em vários computadores comprometidos aproximadamente ao mesmo tempo.

As provas de pelo menos um ataque sugerem que o grupo pode ter roubado dados empresariais antes de iniciar a encriptação. Isto permitiria aos atacantes pressionar a vítima tanto com a exposição de dados como com a perturbação do sistema.

A Sophos avalia a campanha como sendo motivada financeiramente. Os operadores podem implementar o ransomware eles próprios ou fornecer acesso a afiliados de ransomware separados depois de comprometerem uma rede.

Outros grupos de ameaça também utilizaram o Microsoft Teams para engenharia social. O grupo MuddyWater, apoiado pelo estado iraniano, utilizou o Teams e atividade falsa de ransomware para ocultar operações de espionagem.

As campanhas relacionadas com o Chaos também utilizaram outras técnicas. Numa operação separada, o ransomware Chaos utilizou o msaRAT para disfarçar o tráfego malicioso dentro do Chrome e do Edge.

Como as organizações podem bloquear ataques de vishing no Teams

As empresas devem limitar as comunicações externas do Microsoft Teams ou monitorizar atentamente as mensagens e chamadas de contas fora da organização.

Os funcionários nunca devem aprovar um pedido inesperado de suporte remoto sem o confirmar através de um método de contacto interno oficial. Os departamentos de TI também devem explicar claramente quais as ferramentas que os seus técnicos utilizam e como são iniciados os pedidos de suporte legítimos.

As equipas de segurança devem bloquear ou restringir a Assistência Rápida, o RemSupp, o AnyDesk, o DWAgent e software semelhante em sistemas que não necessitem de administração remota.

As organizações devem monitorizar a atividade invulgar do PowerShell, incluindo downloads inesperados ou comandos codificados, bem como a instalação de novas aplicações de gestão remota ou não autorizadas. Estes comportamentos podem indicar que um atacante obteve acesso inicial e está a tentar estabelecer o controlo sobre um sistema.

Devem também estar atentos a entradas de registo suspeitas que imitam software de áudio legítimo, tentativas de ativar o Protocolo de Ambiente de Trabalho Remoto e contas externas do Microsoft Teams que se fazem passar por equipa de suporte interna. Em conjunto, estes indicadores podem ajudar a identificar a engenharia social e a atividade pós-compromisso numa fase inicial da cadeia de ataque.

Em outras notícias de segurança, a Microsoft está a ter dificuldades em resolver vulnerabilidades identificadas pelo Claude Mythos da Anthropic. À medida que a investigação de segurança se torna mais automatizada, os atacantes também podem encontrar e explorar as fraquezas do software mais rapidamente.

Via BleepingComputer