Campanha de Phishing com Ferramentas Legítimas
Uma campanha de phishing cuidadosamente elaborada tem sido direcionada a organizações em todo os Estados Unidos, utilizando ferramentas legítimas de monitoramento e gerenciamento remoto (RMM) para contornar defesas de segurança e obter acesso não autorizado aos sistemas das vítimas. Em vez de implantar malware tradicional no início, os atores de ameaça por trás desta operação armaram softwares legítimos — especificamente LogMeIn Resolve e ScreenConnect — para estabelecer silenciosamente um ponto de apoio antes de avançar mais profundamente nas redes comprometidas.
A campanha parece ter começado tão cedo quanto abril de 2025, com a maior parte da atividade maliciosa ocorrendo entre outubro e novembro do mesmo ano. No total, mais de 80 organizações em vários setores da indústria nos EUA foram afetadas. Os atacantes iniciaram o contato por meio de e-mails de phishing — alguns enviados de contas de terceiros comprometidas pertencentes a contatos conhecidos e confiáveis, tornando as mensagens parecerem credíveis, enquanto outros vieram de remetentes completamente desconhecidos.
Muitos desses e-mails foram projetados para parecer convites de eventos da Punchbowl, com linhas de assunto como "SPECIAL INVITATION", enquanto outros imitavam avisos de solicitação de licitações. Cada e-mail continha um link apontando para sites de distribuição controlados pelos atacantes que hospedavam instaladores legítimos do LogMeIn Resolve pré-configurados para registrar o dispositivo da vítima em uma conta totalmente possuída e controlada pelo atacante.
Análise Técnica da Exploração
Analistas e pesquisadores da Sophos identificaram e rastrearam esta atividade de ameaça como STAC6405. Sua investigação contínua revelou que a infraestrutura de distribuição da campanha mudou repetidamente ao longo do tempo, com o ator de ameaça alternando entre páginas de aterrissagem temáticas — incluindo uma que imitava o Microsoft Teams e outra estilizada após o software de segurança Norton — possivelmente para adaptar a entrega com base na localização do usuário ou atributos do navegador.
Os arquivos instaladores maliciosos carregavam nomes cuidadosamente projetados para parecerem rotineiros, como Invitation.exe, ContractAgreementToSign.exe e statmtsPDF10.25.exe. Uma vez que uma vítima executava o arquivo baixado, o atacante ganhava acesso remoto não supervisionado através da plataforma LogMeIn Resolve. O agente instalado gravava um arquivo de configuração no disco com um domínio de relay fixo controlado pelo atacante e registrava um serviço Windows usando um ID único vinculado a essa configuração específica.
Na maioria dos casos observados, o ataque parava neste ponto — os atores de ameaça pareciam permanecer inativos após obter acesso inicial, um padrão comumente vinculado a operações de corretor de acesso inicial (IAB), onde o acesso roubado é vendido silenciosamente em mercados criminosos para exploração adicional.
Entrega de Payload em Múltiplas Etapas
Em dois incidentes, no entanto, os atores de ameaça passaram para uma segunda etapa muito rapidamente. No primeiro caso, exploraram uma instalação pré-existente do ScreenConnect — já executando na máquina da vítima — para baixar um arquivo ZIP empacotado com a ferramenta HeartCrypt Packer-as-a-Service. O arquivo continha dois arquivos: HideMouse.exe, uma utilidade que substitui o cursor do mouse visível por um transparente para ocultar a atividade remota na tela do usuário, e 87766713.exe, um malware que os pesquisadores da Sophos avaliaram como comportamentalmente semelhante ao ValleyRAT.
Uma vez executado, o infostealer permaneceu inativo por quatro a nove minutos — um atraso deliberado projetado para contornar ferramentas de análise de sandbox e detecção heurística — antes de injetar código no csc.exe, um binário legítimo da Microsoft regularmente abusado como um binário vivo (LOLbin). O malware então se conectou a um servidor de comando e controle e começou a coletar credenciais armazenadas no navegador, tokens de sessão, dados de carteira de criptomoeda e detalhes do sistema.
Recomendações de Defesa para CISOs
As organizações devem restringir a instalação de software a uma lista aprovada, impor uma higiene de credenciais forte por meio de gerenciadores de senhas seguros ou chaves de acesso, e remover ferramentas RMM como LogMeIn se não forem necessárias para o uso diário do negócio. Ferramentas RMM não autorizadas também devem ser bloqueadas por meio de políticas de controle de aplicativos. Quaisquer URLs e indicadores de comprometimento associados a esta campanha devem ser bloqueados prontamente em todos os pontos de entrada de rede.
A detecção de atividades anômalas relacionadas a serviços RMM não solicitados e a monitoração de conexões de saída para domínios de relay desconhecidos são essenciais. A implementação de listas de permissão de aplicativos (whitelisting) pode prevenir a execução de instaladores não autorizados. Além disso, a segmentação de rede deve ser revisada para limitar o movimento lateral caso um acesso inicial seja estabelecido.