Descoberta e mecanismo de ataque
A campanha identificada registrou domínios como znedesk[.]com e vpn-zendesk[.]com, recorrendo a serviços de registro (NiceNic) e a nameservers mascarados via Cloudflare para dificultar análise de infraestrutura. As páginas simulam ambientes de login SSO para capturar credenciais de agentes de suporte.
Weaponização de tickets de suporte
A tática descrita mais perigosa é a inserção direta de tickets falsos no portal de suporte da vítima. Esses tickets costumam fingir solicitações administrativas ou reset de senha urgentes, levando agentes a clicar em links que apontam para domínios typosquatted ou a baixar payloads que entregam RATs ao endpoint do agente.
Infraestrutura e sinais
Os registros mostram padronização nas características de registro dos domínios e o uso de Cloudflare para ofuscação. Reliaquest, citada pela matéria, correlacionou aspectos de registro com operações anteriores do grupo (ataque a Salesforce em agosto de 2025), indicando reaproveitamento de infraestrutura e táticas.
Impacto potencial
Um comprometimento bem-sucedido de um portal Zendesk pode permitir movimento lateral em ambientes corporativos, exfiltração de dados sensíveis de clientes (billing, IDs) e estabelecimento de persistência via acesso privilegiado a tickets e integrações. O histórico do grupo inclui roubo de dados em incidentes anteriores, o que reforça o risco.
Limites das informações
A matéria não indica número de vítimas confirmadas, nem lista domínios completos além de exemplos. Também não há detalhes técnicos de indicadores de comprometimento além das observações sobre registradores e a presença de RATs via payloads em tickets.
Recomendações operacionais
- Validar rigorosamente a origem de tickets que contenham links ou solicitações administrativas — exigir verificações fora do fluxo padrão quando houver urgência.
- Fortalecer controles SSO, habilitar autenticação multifator para agentes e monitorar logs de tickets por anexos e URLs externos.
- Implementar proteção de endpoint que bloqueie execução de payloads baixados de fontes não confiáveis e segmentar acessos do portal de suporte ao resto da rede.
Conclusão
A evolução do coletivo em direção a ataques de supply‑chain operacional via plataformas de suporte demonstra que ferramentas legítimas podem ser transformadas em vetores quando processos humanos e automações não são suficientemente validados.