Um executivo sênior de uma grande bolsa de valores global teve sua conta do Microsoft Outlook comprometida silenciosamente por cinco meses consecutivos, com atacantes drenando e-mails em pequenos lotes para evitar detecção. A intrusão ocorreu de outubro de 2025 até pelo menos março de 2026, projetada inteiramente com um único objetivo: roubar o conteúdo completo da caixa de entrada de uma pessoa sem levantar alarmes.
Descoberta e escopo
Analistas da equipe Threat Hunter da Symantec, trabalhando em conjunto com a Carbon Black, identificaram a campanha e notaram que o uso de infraestrutura de nuvem legítima e ferramentas publicamente disponíveis tornou a atribuição a qualquer grupo de ameaças conhecido impossível. A disciplina operacional exibida foi considerada notável o suficiente para justificar uma divulgação pública, apesar da prática padrão da equipe de não publicar incidentes de vítima única.
O que tornou esta campanha especialmente difícil de detectar foi como os atacantes se misturaram perfeitamente ao tráfego normal. Eles confiaram exclusivamente em serviços em nuvem com os quais qualquer usuário legítimo pode interagir diariamente, escondendo sua atividade dentro do tipo de ruído de rede que raramente dispara alertas de segurança.
Vetor e exploração
O método de acesso inicial nunca foi confirmado, mas até outubro de 2025 os atacantes já haviam instalado dois binários disfarçados na máquina da vítima, ambos executando com privilégios de nível SYSTEM. O primeiro se passava por um serviço de atualização da Adobe (armsvc.exe), enquanto o segundo imitava um componente do Microsoft OneDrive (oneservice.exe). Ambos foram executados automaticamente via tarefas agendadas, dando aos atacantes um ponto de apoio confiável antes que a operação principal de roubo começasse.
A ferramenta principal foi construída em torno do Aspose, uma biblioteca .NET legítima para ler arquivos de dados do Outlook. Os atacantes a usaram para converter o arquivo de armazenamento offline do Outlook do executivo em um formato portátil e, em seguida, moveram silenciosamente a saída da máquina. A ferramenta foi implantada sob três nomes de arquivo temporários diferentes (ts_9ea0.tmp, ts_e0d5.tmp, ts_e2d5.tmp), todos compartilhando o mesmo hash de arquivo.
Exfiltração via infraestrutura legítima
Os dados roubados foram canalizados para fora através do Dropbox e do OneDrive usando ferramentas de linha de comando padrão que pareceriam inteiramente normais na maioria dos sistemas corporativos. Para o Dropbox, os atacantes reutilizaram as mesmas credenciais de aplicativo em todas as sessões, rotacionando apenas os tokens de autorização de curta duração. Para o OneDrive, eles contornaram totalmente a filtragem baseada em DNS fazendo solicitações diretamente para endereços IP da Microsoft codificados, garantindo que nenhuma consulta de domínio suspeita aparecesse nos logs de perímetro.
Em novembro de 2025, os atacantes testaram brevemente um terceiro canal fazendo upload de arquivos para um serviço de hospedagem de arquivos temporários público chamado temp.sh, mas o abandonaram após apenas algumas tentativas. A campanha continuou evoluindo até março de 2026, quando uma nova DLL (te.host.dll) e um novo binário disfarçado (armdriver.exe) foram implantados, confirmando que os atacantes ainda estavam ativos e refinando seus métodos até o final.
Indicadores de comprometimento (IoCs)
As organizações devem monitorar cuidadosamente a criação incomum de tarefas agendadas que usam nomes de fornecedores legítimos como cobertura e sinalizar transferências em massa de arquivos originadas de diretórios de dados de correio. Restringir conexões de saída para APIs de armazenamento em nuvem e habilitar alertas comportamentais vinculados ao acesso a arquivos de armazenamento do Outlook pode ajudar a revelar essas campanhas de espionagem de longa duração antes que danos significativos sejam causados.
O que os CISOs devem fazer imediatamente
- Monitorar tarefas agendadas que usam nomes de serviços legítimos (ex: Adobe, Microsoft) para execução.
- Implementar detecção de acesso a arquivos OST/PST em massa.
- Revisar conexões de saída para serviços de nuvem (Dropbox, OneDrive) via ferramentas de linha de comando.
- Verificar hashes de arquivos suspeitos listados nos relatórios da Symantec e Carbon Black.
Perguntas frequentes
Por que este ataque foi difícil de detectar?
Os atacantes usaram ferramentas legítimas e serviços em nuvem comuns, escondendo sua atividade no tráfego normal e evitando consultas de DNS suspeitas.
Qual foi o impacto principal?
O foco foi a espionagem corporativa, extraindo inteligência sensível de uma única caixa de entrada de alto nível, incluindo detalhes de listagens futuras e eventos de mercado.