Pesquisadores descreveram uma campanha de phishing direcionada a organizadores e fornecedores do setor de casamentos que usa convites e links do Microsoft Teams como isca para distribuição de malware tipo stealer.
Como a campanha opera
O ataque começa com e‑mails credíveis — segundo o relatório — originados de um endereço ligado a um escritório de advocacia real (czimmerman@craigzlaw[.]com), aparentemente comprometido. As mensagens incluem detalhes legítimos de eventos (datas, locais, contagens de convidados) para construir confiança antes de enviar um link falso do Teams.
Vetor de entrega e payload
Após trocas de e‑mail, a vítima recebe um link do tipo https://teams.microsoft.com/l/meet/47018... que redireciona para um domínio malicioso (ussh[.]life/connect/teamsfinal/9/windows). A página finge oferecer um instalador do Teams e induz o download de executáveis que, ao serem executados, atuam como stealers — recolhendo credenciais, cookies e tokens de sessão para posterior exfiltração a servidores de comando e controle.
Indicadores e mitigação
- E‑mail identificado: czimmerman@craigzlaw[.]com (domínio legítimo possivelmente comprometido)
- Link Teams usado na isca: https://teams.microsoft.com/l/meet/47018czL7LJ5PZQ6Cy
- Host de malware: ussh[.]life/connect/teamsfinal/9/windows
- ‘Fake code’ embutido: fr6c (usado no redirect)
A recomendação prática inclui bloqueio desses IOCs em perímetro (firewall/proxy), varredura com EDR por downloads incomuns via Teams, checagem cuidadosa de domínios e links recebidos e a adoção de controles de acesso no Microsoft 365 (ex.: restrições para downloads externos). Também é sugerido fortalecer autenticação (passwordless / chaves FIDO) e segmentar comunicações com fornecedores.
Alvo e riscos
Os alvos relatados são fornecedores do setor de casamentos nos EUA. O impacto potencial inclui roubo de PII de clientes, comprometimento de contas de comunicação e apropriação indevida de meios de pagamento ou contratos, já que stealers colhem tokens e cookies que frequentemente permitem takeover sem uso direto de senhas.
O que falta esclarecer
A matéria apresenta IOCs e comportamento analisado, mas não atribui publicamente o ataque a um ator específico nem indica escala global da campanha. Também não há, na matéria consultada, referência a exploração via Teams oficial (por exemplo, abuso de aplicação legítima) além do uso de páginas falsas que imitam o fluxo de instalação.
Fonte
Relato do Cyber Security News com observações sobre IOCs e recomendações operacionais.