Descoberta e escopo
Pesquisadores da Censys identificaram a operação em 12 de janeiro de 2026 e catalogaram 86 propriedades web distintas que entregavam as iscas em alemão. As páginas comprometidas ou criadas pelos atacantes simulam um player de áudio e solicitam ao usuário o download de um suposto "codec" para reproduzir a mensagem — na verdade, um arquivo .BAT que inicia a cadeia de intrusão.
Vetor e mecanismo de ataque
O vetor é inteiramente baseado em confiança: o usuário recebe uma notificação (por e‑mail ou outro canal) sobre uma suposta nova mensagem de voz. Ao abrir a página, o visitante vê um player que aparenta funcionar, mas é instruído a baixar e executar um arquivo para "habilitar o áudio".
O arquivo baixado é um script batch do Windows. Após a execução manual pelo usuário, o script exibe uma tela falsa de "Windows Media Player Component Update" enquanto, em segundo plano, baixa e instala o agente "Remotely" — uma ferramenta legítima de monitoramento e gestão remota de código aberto — e registra o endpoint em uma infraestrutura controlada pelos atacantes.
Persistência e cobertura operacional
Para manter a ilusão, o ataque reproduz um áudio benigno em um navegador minimizado, dando a sensação de que a mensagem foi reproduzida com sucesso. O agente RMM instalado inscreve o dispositivo no painel de administração do invasor, proporcionando controle remoto estável, exfiltração e possibilidade de desdobramento de payloads adicionais.
Impacto e limites das evidências
Segundo a Censys, 86 propriedades web foram observadas entregando as iscas; não há, contudo, indicação pública no relatório de um número consolidado de vítimas finais comprometidas. Também falta informação pública sobre alvos por país ou setores específicos — dados que ajudariam a avaliar implicações regulatórias (por exemplo, LGPD) para organizações brasileiras.
Mitigações práticas
- Bloquear domínios e URLs conhecidos associados à campanha e monitorar requests a buckets S3 que hospedam conteúdos de isca.
- Treinamento focalizado para evitar execução manual de binários/script recebidos por links; política clara para "não executar executáveis solicitados por páginas de webmail/voicemail".
- Detecção em endpoints: alertas para execução atípica de scripts .BAT que baixam binários e para instalação de agentes RMM não autorizados.
- Controle de execução: aplicar políticas AppLocker/WDAC que previnam execução de scripts em contextos de usuário que não sejam administradores.
Recomendações para equipes SOC/IR
Monitorar logs de proxy e EDR em busca de downloads iniciados por páginas de voicemail, evidências de execução de scripts batch e comunicações com portais de administração do Remotely. Caso haja suspeita de execução, isolar o endpoint e coletar memória, pois o acesso remoto permite movimento lateral e exfiltração contínua.
Observações finais
O relatório da Censys descreve a técnica e os IOCs de entrega (hosted audio em S3 e 86 propriedades identificadas), mas não fornece métricas de impacto em usuários ou empresas. Falta também indicação de campanhas relacionadas que usem idiomas além do alemão — um dado relevante para operações APAC/BR.