Campanha de Engenharia Social Usa Microsoft Teams e Quick Assist para Distribuir A0Backdoor
Um novo grupo de ameaças, vinculado à rede de ransomware Black Basta, está utilizando uma cadeia de ataque refinada para comprometer ambientes corporativos, explorando ferramentas legítimas do ecossistema Microsoft. A campanha, identificada sob os aliases Blitz Brigantine, Storm-1811 e STAC5777, tem como alvo profissionais dos setores financeiro e de saúde, com atividade observada desde agosto de 2025 até fevereiro de 2026.
Como o Ataque Funciona
O vetor inicial envolve o envio de e-mails de spam em massa para criar confusão e urgência nas caixas de entrada das vítimas. Em seguida, os atacantes entram em contato via Microsoft Teams, se passando por equipe de suporte de TI e oferecendo ajuda para resolver os problemas relatados nos e-mails. A vítima, acreditando estar falando com suporte legítimo, concede acesso remoto através da ferramenta Quick Assist, nativa do Windows.
Com o acesso remoto estabelecido, os atacantes implantam ferramentas maliciosas e estabelecem um ponto de presença duradouro na máquina comprometida. A análise da BlueVoyant identificou dois incidentes separados ligados a esta campanha, onde o software entregue às vítimas era disfarçado como aplicativos legítimos da Microsoft, incluindo o próprio Teams e uma utilidade chamada CrossDeviceService.
Técnicas de Evitação e Persistência
O mecanismo de infecção por trás do A0Backdoor demonstra um refinamento técnico significativo. Quando o pacote MSI malicioso é instalado, ele coloca um arquivo legítimo ao lado de um arquivo adulterado chamado hostfxr.dll. Normalmente, este é um componente de hospedagem .NET confiável assinado pela Microsoft, mas neste caso, foi substituído por uma cópia maliciosa assinada sob o certificado MULTIMEDIOS CORDILLERANOS SRL.
Quando o executável legítimo é executado, ele carrega esta DLL falsa, um método conhecido como DLL Sideloading, permitindo que o malware execute silenciosamente sob a cobertura de um processo confiável. Uma vez carregado, o hostfxr.dll malicioso decodifica dados ocultos em seu próprio código e transfere a execução para um payload de shellcode.
Para complicar a análise, o loader emite chamadas excessivas de CreateThread que podem causar falhas em depuradores durante a execução. O shellcode verifica se está rodando em um ambiente virtual consultando tabelas de firmware em busca de indicadores de sandbox, como a string "QEMU", e utiliza um sistema de chave baseado no tempo, onde a chave de decodificação muda a cada 55 horas.
Comunicação e Exfiltração
O payload final do A0Backdoor conecta-se aos operadores através de consultas de registro MX DNS usando subdomínios de alta entropia que se misturam ao tráfego de rede comum. Em vez de registrar domínios novos que poderiam levantar bandeiras, os operadores re-registraram nomes de domínio antigos e expirados, contornando ferramentas de detecção sintonizadas para identificar domínios recém-registrados ou gerados algoritmicamente.
A comunicação via túnel DNS sobre resolvers públicos como 1.1.1.1 permite que a máquina infectada evite conexões diretas a servidores controlados pelos atacantes, tornando o tráfaco muito mais difícil de sinalizar. As consequências deste ataque estendem-se bem além da sessão remota inicial, com o A0Backdoor coletando detalhes do sistema como nome de usuário e computador para identificar o host infectado antes de contatar os operadores.
Recomendações de Segurança
As organizações devem restringir o uso do Quick Assist em ambientes corporativos e implementar políticas que bloqueiem sessões de acesso remoto não solicitadas. Os funcionários devem ser treinados para sempre verificar qualquer contato de suporte de TI feito através do Microsoft Teams antes de conceder acesso ou compartilhar credenciais.
As equipes de segurança devem monitorar pacotes MSI aparecendo em diretórios AppData do usuário, sinalizar consultas DNS MX de saída direcionadas a resolvers públicos e monitorar atividade de túnel DNS dentro da rede. Restringir o acesso externo do Microsoft Teams de inquilinos não reconhecidos remove um dos principais canais que este grupo de ameaças utiliza para contato inicial.