Hack Alerta

Campanha “Voicemail Trap” usa iscas de voicemail para instalar RMM

Pesquisadores da Censys identificaram a campanha "Voicemail Trap": páginas de voicemail falsas induzem usuários a baixar um .BAT que instala o agente RMM Remotely, concedendo controle remoto persistente aos invasores. Foram observadas 86 propriedades web entregando as iscas; não há métricas públicas de vítimas. Recomendações incluem bloqueio de domínios, políticas de execução e monitoramento de EDR/proxy.

Uma campanha de engenharia social batizada de "Voicemail Trap" tem usado notificações de correio de voz falsas para induzir vítimas a executar um script que instala acesso remoto persistente.

Descoberta e escopo

Pesquisadores da Censys identificaram a operação em 12 de janeiro de 2026 e catalogaram 86 propriedades web distintas que entregavam as iscas em alemão. As páginas comprometidas ou criadas pelos atacantes simulam um player de áudio e solicitam ao usuário o download de um suposto "codec" para reproduzir a mensagem — na verdade, um arquivo .BAT que inicia a cadeia de intrusão.

Vetor e mecanismo de ataque

O vetor é inteiramente baseado em confiança: o usuário recebe uma notificação (por e‑mail ou outro canal) sobre uma suposta nova mensagem de voz. Ao abrir a página, o visitante vê um player que aparenta funcionar, mas é instruído a baixar e executar um arquivo para "habilitar o áudio".

O arquivo baixado é um script batch do Windows. Após a execução manual pelo usuário, o script exibe uma tela falsa de "Windows Media Player Component Update" enquanto, em segundo plano, baixa e instala o agente "Remotely" — uma ferramenta legítima de monitoramento e gestão remota de código aberto — e registra o endpoint em uma infraestrutura controlada pelos atacantes.

Persistência e cobertura operacional

Para manter a ilusão, o ataque reproduz um áudio benigno em um navegador minimizado, dando a sensação de que a mensagem foi reproduzida com sucesso. O agente RMM instalado inscreve o dispositivo no painel de administração do invasor, proporcionando controle remoto estável, exfiltração e possibilidade de desdobramento de payloads adicionais.

Impacto e limites das evidências

Segundo a Censys, 86 propriedades web foram observadas entregando as iscas; não há, contudo, indicação pública no relatório de um número consolidado de vítimas finais comprometidas. Também falta informação pública sobre alvos por país ou setores específicos — dados que ajudariam a avaliar implicações regulatórias (por exemplo, LGPD) para organizações brasileiras.

Mitigações práticas

  • Bloquear domínios e URLs conhecidos associados à campanha e monitorar requests a buckets S3 que hospedam conteúdos de isca.
  • Treinamento focalizado para evitar execução manual de binários/script recebidos por links; política clara para "não executar executáveis solicitados por páginas de webmail/voicemail".
  • Detecção em endpoints: alertas para execução atípica de scripts .BAT que baixam binários e para instalação de agentes RMM não autorizados.
  • Controle de execução: aplicar políticas AppLocker/WDAC que previnam execução de scripts em contextos de usuário que não sejam administradores.

Recomendações para equipes SOC/IR

Monitorar logs de proxy e EDR em busca de downloads iniciados por páginas de voicemail, evidências de execução de scripts batch e comunicações com portais de administração do Remotely. Caso haja suspeita de execução, isolar o endpoint e coletar memória, pois o acesso remoto permite movimento lateral e exfiltração contínua.

Observações finais

O relatório da Censys descreve a técnica e os IOCs de entrega (hosted audio em S3 e 86 propriedades identificadas), mas não fornece métricas de impacto em usuários ou empresas. Falta também indicação de campanhas relacionadas que usem idiomas além do alemão — um dado relevante para operações APAC/BR.


Baseado em publicação original de Cyber Security News
Publicado pela Redação Hack Alerta com base em fontes externas citadas e monitoramento editorial do Hack Alerta. Para decisões técnicas, operacionais ou jurídicas, confirme sempre os detalhes na fonte original.