Um novo grupo de ameaças identificado como UNC6692 tem sido responsável por uma campanha sofisticada que explora a confiança dos usuários em ferramentas de colaboração corporativa. A tática central envolve a supressão de identidade de pessoal de suporte de TI, utilizando o Microsoft Teams para engajar vítimas em um ciclo de engenharia social que culmina na instalação de um pacote de malware personalizado conhecido como SNOW.
Descoberta e escopo da campanha
A campanha foi detalhada por analistas da ExtraHop, que observaram um padrão consistente de ataque que começa com uma onda de e-mails de spam enviados para a caixa de entrada dos alvos. O objetivo inicial é criar caos e urgência, sobrecarregando o usuário com notificações falsas. Uma vez que a vítima está distraída ou preocupada, o mesmo ator malicioso entra em contato através de uma solicitação de chat no Microsoft Teams, se passando por um agente de suporte de TI oferecendo ajuda para resolver o problema que eles mesmos criaram.
Essa abordagem de duplo contato é particularmente perigosa porque explora a confiança inerente que os funcionários têm nas ferramentas de comunicação interna da empresa. Muitos usuários aceitam convites de chat externos sem uma segunda verificação, especialmente quando a mensagem promete resolver um problema que eles já estão enfrentando. A análise técnica revela que o ataque não é apenas sobre o acesso inicial, mas sobre a manutenção de uma presença persistente na rede comprometida.
Arquitetura do malware SNOW
O ecossistema SNOW não é um único arquivo malicioso, mas sim um pipeline em camadas construído para persistência e discrição. Uma vez que a vítima aceita o convite falso do Teams, o atacante envia um link que alega instalar um patch para parar o spam. Ao clicar, o usuário baixa um binário AutoHotkey renomeado junto com um script que compartilha o mesmo nome de arquivo, puxado de um bucket de nuvem controlado pelo atacante.
Esse download marca a primeira etapa do ecossistema SNOW. O toolkit modular inclui uma extensão de navegador maliciosa, uma ferramenta de tunelamento baseada em Python e um backdoor local leve. Cada componente lida com uma parte da intrusão, permitindo que o atacante mantenha uma presença muito depois da mensagem de phishing original ter sido esquecida. A instalação da extensão SNOWBELT ocorre através do Microsoft Edge em modo oculto, usando configurações de linha de comando que pulam verificações normais de instalação.
Indicadores de comprometimento e IoCs
Para equipes de SOC e analistas de segurança, a identificação precoce é crucial. Os indicadores de comprometimento (IoCs) identificados incluem arquivos AutoHotkey renomeados que são entregues de buckets S3 controlados por atacantes. O script correspondente executa automaticamente ao baixar, contornando prompts de usuário padrão para implantar a extensão SNOWBELT. Além disso, a ferramenta 7ZIP Imager é usada pelo ator da ameaça para compactar e exfiltrar o banco de dados inteiro do Active Directory (NTDS.dit).
O toolkit também suporta captura de tela, exfiltração de arquivos e término de sessão, dando aos operadores controle sobre o tempo que permanecem ocultos. O tráfego se move através de serviços de nuvem legítimos e recursos familiares do Windows, o que significa que o monitoramento de rede padrão muitas vezes não o detecta. As equipes de segurança devem observar instalações incomuns de extensões de navegador, tarefas agendadas que iniciam o Edge em modo headless e conexões de saída inesperadas para endpoints desconhecidos.
Impacto operacional e riscos para a empresa
Uma vez dentro, o grupo UNC6692 não se apressa. O grupo move-se cuidadosamente através dos sistemas comprometidos, colhendo credenciais, explorando redes internas e expandindo o acesso antes de fazer qualquer coisa que possa acionar alarmes. Isso permite que os atacantes estabeleçam uma posição sólida antes de tentar qualquer movimento de exfiltração de dados em larga escala. O uso de ferramentas legítimas e serviços de nuvem para tunelamento e comando e controle torna a detecção baseada em assinatura ineficaz.
Para as organizações, o risco é duplo: a perda de dados sensíveis e a potencial interrupção operacional devido à exfiltração de credenciais de domínio. A capacidade de exfiltrar o banco de dados do Active Directory representa um risco crítico para a segurança da identidade corporativa, permitindo que os atacantes assumam o controle total da infraestrutura de TI.
Medidas de mitigação recomendadas
As organizações são aconselhadas a restringir permissões de chat externo no Microsoft Teams para contatos aprovados. Isso limita a capacidade dos atacantes de iniciar conversas não solicitadas com funcionários. Além disso, treinar os funcionários para tratar o alcance não solicitado do helpdesk com cautela é essencial. Bloquear plataformas de compartilhamento de arquivos não aprovadas e exigir verificação antes da assistência remota pode reduzir a exposição a esse tipo de intrusão.
As equipes de segurança devem implementar monitoramento específico para atividades anômalas no Microsoft Teams, como convites de chat de usuários externos que resultam em downloads de arquivos. A revisão regular de extensões de navegador instaladas e a verificação de tarefas agendadas suspeitas também são medidas proativas recomendadas. A implementação de políticas de segurança de endpoint que restringem a execução de scripts AutoHotkey não assinados pode bloquear a fase inicial de instalação.
Conclusão e lições para CISOs
Esta campanha demonstra como os atacantes favorecem a paciência e o disfarce em vez da força bruta, transformando hábitos comuns de trabalho em uma abertura para comprometimento profundo. A combinação de engenharia social com ferramentas legítimas de nuvem e colaboração cria um desafio significativo para as defesas tradicionais. Os CISOs devem revisar suas políticas de uso aceitável e garantir que os funcionários estejam cientes das táticas de supressão de identidade em plataformas de colaboração.
Perguntas frequentes
Como identificar se fui vítima deste ataque?
Verifique se há extensões de navegador desconhecidas, especialmente aquelas que não foram instaladas por você. Monitore também tarefas agendadas que iniciam o Microsoft Edge em modo oculto.
Devo bloquear o Microsoft Teams?
Não necessariamente. Em vez disso, restrinja as permissões de chat externo e monitore o tráfego de saída para endpoints não conhecidos.
Qual é a prioridade de resposta?
Isolar sistemas comprometidos imediatamente e revogar credenciais que possam ter sido colhidas durante o processo de engenharia social.