Campanha de phishing utiliza iscas de documentos seguros e páginas falsas da Microsoft Store para implantar ferramentas de gerenciamento remoto legítimas, estabelecendo acesso redundante em estáções de trabalho.
| Componente | Ferramentas RMM (Level, ConnectWise ScreenConnect, Tactical RMM), instaladores Inno Setup e scripts PowerShell |
| Vetor | E-mail de phishing com isca de documento seguro, redirecionamento para infraestrutura web comprometida e download de executável malicioso disfarçado de atualização do Microsoft Teams |
| Impacto | Instalação não autorizada de ferramentas de acesso remoto, persistência redundante no endpoint, execução de reconhecimento de sistema e enumeração de contas privilegiadas |
| Prioridade | Bloqueio imediato de domínios e repositórios identificados, além da revisão de processos PowerShell não sancionados que baixam instaladores de software |
Uma campanha de phishing corporativo, batizada de Operação BlueDash, foi detectada empregando engenharia social sofisticada para distribuir ferramentas de gerenciamento remoto legítimas. A tática central envolve o uso de iscas de 'documentos seguros' para induzir vítimas a atualizarem falsamente o Microsoft Teams. O ataque redireciona o usuário para uma página fraudulenta que imita a Microsoft Store, hospedada em infraestrutura web comprometida. A ameaça não se baseia em malware customizado complexo, mas no abuso de software legítimo (Living off the Land), especificamente ferramentas de Monitoramento e Gerenciamento Remoto (RMM), que são permitidas na maioria das redes corporativas, facilitando a evasão de controles de segurança tradicionais.
A análise da infraestrutura de ataque indica que os operadores estão utilizando ambientes de desenvolvimento reais, como repositórios no GitHub, para hospedar a página de phishing e os payloads de entrega. A atribuição da campanha, com confiança moderada a alta, aponta para um grupo de ameaças operando a partir da Nigéria, com base em sobreposição de infraestrutura, histórico de código e padrões operacionais observados em campanhas anteriores. A operação demonstra maturidade na manutenção de acesso, utilizando uma estratégia de redundância ao implantar múltiplas ferramentas RMM no mesmo host para garantir que, se uma for detectada e removida, outra permaneça ativa.
A cadeia de ataque é iniciada por um e-mail que convence o alvo a acessar um suposto documento seguro. O clicar no link direciona a vítima através de servidores intermediários comprometidos até o domínio fraudulento teamvem[.]com, que simula a interface da Microsoft Store. A página exibe uma mensagem falsa afirmando que o Microsoft Teams precisa ser atualizado antes que o documento compartilhado possa ser aberto, compelindo o usuário a baixar e executar o arquivo 'supportdev.exe'.
O executável 'supportdev.exe' é um instalador legítimo da plataforma Inno Setup, configurado para funcionar como um loader malicioso. Ao ser executado, ele inicia uma instância do PowerShell em uma janela oculta. Esse script PowerShell é responsável por baixar silenciosamente os instaladores oficiais do Level RMM e do ConnectWise ScreenConnect. A técnica crítica utilizada é o registro do endpoint utilizando uma chave de API (enrollment secret) controlada pelo atacante (identificada como LEVEL_API_KEY=GxSCHE8EZwfyYN3iPQHPai8D). Isso permite que os invasores assumam o controle administrativo da ferramenta RMM recém-instalada sem interação adicional do usuário. A execução paralela de dois RMMs diferentes confirma a intenção de criar canais de comunicação redundantes e resilientes.
A investigação técnica revelou o uso extensivo de recursos da web moderna para operacionalizar a campanha. A infraestrutura de comando e controle inclui o domínio support[.]berrydev[.]xyz, que atua como ponto de coleta ou redirecionamento. Além disso, foi descoberto um domínio do GitHub Pages, berry4603.github[.]io, vinculado a um repositório denominado 'Bluedashltd'. Esse repositório contém o código-fonte da página de phishing, configurações de CNAME e o payload 'SupportDev'. O histórico de commits da conta indica que a campanha está ativa pelo menos desde fevereiro de 2026, com a criação do repositório coincidindo com o surgimento da página falsa de atualização do Teams.
Os mesmos atores de ameaças expandiram suas operações para além do Microsoft Teams. Um segundo repositório, chamado 'rustovni' e vinculado à mesma conta do GitHub, foi identificado hospedando uma isca focada em reuniões do Zoom. Nesta variante, o objetivo final é baixar o agente do Tactical RMM a partir de seu lançamento oficial no GitHub. O agente é instalado no diretório temporário do Windows e o host comprometido é registrado usando um token de autenticação incorporado no script do atacante. Essa modularidade demonstra um esquema multi-marca, onde o núcleo da operação permanece inalterado, mas o aplicativo de escritório alvo e a plataforma de gerenciamento remoto são alterados conforme necessário.
Após o estabelecimento do acesso remoto via ferramentas RMM, os operadores da Operação BlueDash iniciam uma fase sistemática de reconhecimento do host infectado. A análise telemétrica evidencia que os invasores executam comandos para verificar o estado do sistema, incluindo a verificação de pendência de reinicialização e a proteção do volume do sistema. Eles também mensuram os perfis ativos de firewall e enumeram os membros do grupo local de Administradores para identificar contas com privilégios elevados.
Essa sequência de comandos sugere a existência de um checklist operacional prático: determinar o estado do sistema, compreender a postura de criptografia e firewall e identificar usuários locais privilegiados antes de decidir os próximos passos da intrusão. Do ponto de vista defensivo, esse comportamento oferece uma oportunidade crítica de detecção comportamental. A origem desses comandos através de um contexto RMM não autorizado, diferentemente de um fluxo de trabalho de TI aprovado, serve como um forte indicador de comprometimento (IOC). A distinção entre a atividade administrativa legítima e a atividade remota maliciosa torna-se um ponto chave para as equipes de resposta a incidentes.
Equipes de segurança devem buscar anomalias na instalação e execução de softwares legítimos de gerenciamento remoto. A presença de processos como supportdev.exe executando comandos PowerShell em janelas ocultas é um sinal de alerta imediato. É crucial monitorar tentativas de registro de endpoints em plataformas RMM utilizando chaves de API desconhecidas ou não padronizadas pela organização. Conexões de rede para os domínios teamvem[.]com, support[.]berrydev[.]xyz e berry4603.github[.]io devem ser bloqueadas e investigadas como tentativas de comunicação maliciosa.
A telemetria de endpoints deve ser correlacionada para identificar instalações simultâneas de múltiplos softwares RMM (como Level e ScreenConnect) originadas do mesmo usuário ou processo em um curto intervalo de tempo. Além disso, a busca por scripts PowerShell que fazem download de executadores da internet e os invocam subsequentemente com permissões administrativas pode revelar a cadeia de ataque antes que o acesso remoto seja totalmente estabelecido. Verificações de integridade do sistema devem incluir a varredura por tokens de autenticação embutidos em scripts encontrados no diretório temporário.
- Registro de novos agentes RMM com chaves API estranhas (ex:
LEVEL_API_KEYnão padrão) - Execução de
supportdev.exeseguido por atividade ofuscada do PowerShell - Instalação não autorizada de Tactical RMM a partir de origens do GitHub
- Conexões web para domínios suspeitos hospedados em GitHub Pages ou infraestrutura comprometida
- Comandos de enumeração de administradores locais originados de processos de suporte remoto
A resposta a este tipo de ameaça requer uma abordagem em camadas que combine controles técnicos com conscientização do usuário. Imediatamente, as organizações devem bloquear o acesso aos domínios e endereços IP identificados como parte da infraestrutura da Operação BlueDash. Políticas de Application Whitelisting devem ser implementadas para impedir a execução de instaladores Inno Setup não assinados ou desconhecidos, bem como restringir a execução do PowerShell a janelas interativas apenas, bloqueando execuções em segundo plano via/YYYY parâmetros específicos.
Em nível de política, é vital revisar e restringir o uso de ferramentas RMM dentro da rede. Somamente软wares de gerenciamento remoto aprovados explicitamente devem ter permissão para funcionar, e suas chaves de API devem ser gerenciadas e rotacionadas centralmente. A conscientização dos usuários deve focar na desconfiança de notificações de atualização de software solicitadas durante o acesso a documentos na web, especialmente se exigirem a execução de arquivos .exe. A regra fundamental deve ser validar a atualização diretamente através do aplicativo oficial ou portal do fornecedor, nunca via links em e-mails ou páginas de documentos.
- Bloqueio de hash e assinatura do binário
supportdev.exe - Restrição de scripts PowerShell que baixam conteúdo da internet (DownloadString/Invoke-WebRequest)
- Implementação de regras de firewall para saída apenas para servidores RMM aprovados
- Auditoria de permissões locais para garantir que novos usuários administradores não sejam criados silenciosamente
- Isolamento de máquinas que apresentarem comportamento de instalação dupla de RMM
0 Comentários