Às 9h14, alguém da equipe financeira recebeu uma chamada no Teams de "Suporte de TI".
Nada parecia errado. O interlocutor sabia o nome da empresa, mencionou uma mudança recente na política de senhas e pediu alguns minutos para corrigir um "problema de sincronização" no laptop do funcionário. Ele sugeriu o AnyDesk, uma ferramenta legítima de acesso remoto, a mesma que a equipe de TI real havia usado no mês anterior. O funcionário permitiu o acesso.
Em poucos minutos, o EtherRAT foi instalado. Sem exploits. Sem anexos maliciosos. Apenas um telefonema e uma ferramenta em que todos já confiavam.
Esta é a campanha sobre a qual o BleepingComputer informou em 8 de julho: agentes de ameaças se passando por suporte de TI no Microsoft Teams, usando e-mails de phishing para agendar a chamada, software de acesso remoto legítimo (RustDesk, AnyDesk) para entrar e um payload baseado em Node.js assim que estavam dentro. É um ataque de várias etapas, paciente e que não aciona nenhum controle técnico.
O momento em que isso poderia ter sido interrompido
Não havia link malicioso para passar o mouse, nem domínio falsificado para identificar. O ponto de decisão foi inteiramente humano: um funcionário decidiu que uma voz em uma chamada do Teams era quem dizia ser e decidiu que um software de acesso remoto era um pedido normal.
Esse é um padrão reconhecível: falsificação de help desk, urgência, uma justificativa técnica plausível. Mas apenas se alguém já tiver visto isso antes. A maioria dos funcionários não viu. Na melhor das hipóteses, assistiram a um vídeo de treinamento genérico sobre phishing por voz.
Por que a biblioteca estática não detectou
O treinamento de conscientização de segurança tradicional funciona com base em um calendário de conteúdo, não em um feed de ameaças. Os módulos são escritos, revisados e agendados com meses de antecedência, e depois reutilizados por um ano ou mais. Eles cobrem links suspeitos e redefinições de senha, os ataques de alguns anos atrás, porque era isso que estava na biblioteca quando foi lançada.
A falsificação de TI baseada no Teams combinada com ferramentas legítimas de acesso remoto é um problema de 2026. Uma biblioteca construída com base em um modelo de ameaças de 2023 não tem nada a dizer sobre isso, e quando um novo módulo passa pela revisão e é adicionado à rotação, a campanha para a qual foi escrito já passou para o próximo pretexto.
A lacuna não é de esforço. É de velocidade. A ameaça se atualiza em tempo real. O treinamento estático, não.
Das manchetes à força de trabalho treinada, no mesmo dia
O Frame fecha essa lacuna gerando treinamento diretamente a partir da própria ameaça, não de uma biblioteca pré-construída. Veja como isso funciona para um ataque como este.
1. Abra a ameaça. O artigo aparece no feed de Notícias do Setor do Frame assim que é publicado. Um membro da equipe de segurança clica nele, sem necessidade de reescrever ou resumir.
2. Escolha um formato. Módulo de treinamento, simulação ou dica. O Frame cria o primeiro rascunho a partir do próprio artigo: a mecânica real da chamada no Teams, a ferramenta de acesso remoto, o malware. Nada de espaços reservados genéricos sobre "engenharia social".
3. Personalize. Edite o assunto, o público-alvo e os detalhes, adicione contexto específico da sua organização ou carregue suas políticas. As ferramentas de acesso remoto que sua equipe de TI realmente usa, a linguagem que seu help desk realmente utiliza ao fazer chamadas.
4. Defina o estilo. Escolha um tema e um tom, ou mantenha o padrão, e clique em Criar Módulo.
5. Gere em minutos. O Frame produz o treinamento ou a simulação em menos de cinco minutos, estruturado em torno da organização de destino, e não algo pronto de prateleira.
6. Revise o vídeo. Edite se necessário. A maioria dos clientes não precisa. 99% enviam o conteúdo gerado sem alterações, porque ele já foi criado sob medida para sua organização e seu público-alvo.
7. Lance. Envie a campanha para as equipes relevantes, neste caso o financeiro, e qualquer outra pessoa com acesso à rede e contato frequente com o help desk. O ciclo, da manchete à equipe treinada, é concluído no mesmo dia.
Resumo
- Os atacantes se passaram por suporte de TI no Microsoft Teams, usaram ferramentas legítimas de acesso remoto e instalaram o malware EtherRAT. Sem exploits, sem links suspeitos, apenas um telefonema convincente.
- Bibliotecas de treinamento estáticas não conseguem acompanhar uma ameaça como esta, pois são criadas meses antes dos ataques que deveriam cobrir.
- O Frame transforma as manchetes do dia em um módulo de treinamento ou simulação, personalizado para sua organização, em menos de cinco minutos. Assim, seus funcionários são treinados sobre o ataque que está ocorrendo hoje, e não sobre o que estava na biblioteca do trimestre passado.
Veja o Frame criar uma simulação ou treinamento para sua própria organização, ao vivo. Agende uma demonstração agora.
