Uma campanha em larga escala tem mirado estabelecimentos do setor hoteleiro, usando e-mails comprometidos que redirecionam gerentes para páginas estilo ClickFix, onde credenciais são roubadas e o malware PureRAT é implantado.
Descoberta e escopo
Pesquisadores chamaram atenção para o uso de contas de e-mail comprometidas como vetor inicial: mensagens enviadas a múltiplos hotéis contêm links para páginas de aparência legítima (ClickFix-like) que coletam credenciais.
Vetor e técnica de persistência
De acordo com o reporte, após a captura de credenciais os atacantes implantam PureRAT. As matérias descrevem o fluxo típico: e-mail malicioso → página de credential harvesting → entrega de PureRAT. Não há números públicos sobre quantos estabelecimentos foram afetados nem estatísticas de comprometimento publicadas pelas fontes.
Impacto para operações hoteleiras
Comprometimento de credenciais administrativas pode permitir desde acesso a sistemas de gestão hoteleira até movimentos laterais na rede, dependendo da arquitetura local. As fontes não confirmam indicadores de impacto específicos (exfiltração de dados, interrupção de reservas, etc.).
Mitigações recomendadas
- Reforçar detecção de phishing: bloquear domínios e URLs conhecidos, aplicar filtros de e-mail e autenticação (SPF/DKIM/DMARC).
- Forçar uso de MFA para painéis administrativos e sistemas críticos do hotel.
- Isolar sistemas de gestão hoteleira em VLANs separadas e restringir acessos administrativos por bastion hosts ou VPN com autenticação forte.
- Implementar varreduras de endpoints para identificar e remover PureRAT e outros artefatos, além de revisar logs de autenticação por sinais de credential theft.
Limites das informações
As matérias descrevem a técnica e atribuem observações a pesquisadores (ex.: Sekoia), mas não publicam provas quantitativas de alcance. Não há indicação de atribuição de autoria nem de campanhas coordenadas ligadas a grupos conhecidos nas fontes consultadas.
O que as equipes devem fazer agora
Auditar recentemente logins administrativos, habilitar MFA, revisar backups e processos de recuperação, e buscar indicações de PureRAT em endpoints. Para investigações, recolher e preservar e-mails e amostras de malware para análise forense.