O aviso estava bem ali na tela. "Externo desconhecido".
O Microsoft Teams já tinha feito o seu trabalho, sinalizando que a pessoa que ligava não era da empresa, não estava na lista de contatos habitual e não era quem dizia ser, segundo qualquer critério objetivo que a plataforma pudesse oferecer.
O funcionário compartilhou sua tela mesmo assim.
Aquela única decisão, tomada durante uma chamada de voz de alguém que se passava por um "Administrador de Sistemas", foi a única coisa que impediu um e-mail de phishing de se tornar um comprometimento total da rede. Tudo o que se seguiu (as ferramentas de acesso remoto, o carregador de malware, o RAT que deu aos atacantes controle total da máquina) dependeu daquela decisão humana favorecer o atacante.
Como o ataque aconteceu
De acordo com pesquisas da Unit 42, a campanha começa de forma comum: um e-mail de phishing com uma isca de "Pesquisa de Funcionários" e um anexo em PDF. Sem exploits. Sem macros. Nada que um filtro de spam necessariamente detectaria, porque não há nada tecnicamente malicioso no arquivo em si.
O ataque real começa depois que o PDF é aberto. Pouco tempo depois, a vítima recebe uma chamada de voz no Microsoft Teams de uma conta externa, helpdesk@Progressive936.onmicrosoft[.]com, passando-se por suporte de TI. A conta está fora do próprio tenant do Microsoft 365 da vítima, que é exatamente o que aciona o rótulo "Externo desconhecido" que o Teams exibe na chamada.
O atacante não tem pressa. Eles conduzem o funcionário por um cenário que parece rotineiro: um acompanhamento relacionado à pesquisa, uma verificação de dispositivo, algo que precisa de acesso remoto para ser resolvido. Usando o recurso de compartilhamento de tela integrado do Teams, o atacante orienta o funcionário a instalar softwares legítimos de acesso remoto, como o HopToDesk e, depois, o AnyDesk. Ambos são ferramentas reais e amplamente utilizadas. Nenhum deles é inerentemente suspeito para um funcionário que acredita estar seguindo as instruções da TI.
Uma vez estabelecido o acesso remoto, o atacante baixa e executa um instalador MSI malicioso, v7.msi, a partir de camorreado[.]click. Esse instalador é um carregador: ele baixa um runtime Node.js legítimo, descriptografa payloads incorporados e inicia o EtherRAT, um trojan de acesso remoto multiplataforma que dá ao atacante controle total do sistema comprometido, incluindo execução de comandos, manipulação de arquivos e roubo de dados.
O EtherRAT possui um detalhe que merece atenção: ele utiliza contratos inteligentes da Ethereum para recuperar seu servidor de comando e controle. Em vez de um domínio ou endereço IP que os defensores possam bloquear, o malware verifica a blockchain em busca de sua próxima instrução. A Unit 42 encontrou um diretório aberto hospedando nove versões do instalador, evidência de que a campanha ainda está sendo desenvolvida ativamente. O EtherRAT já surgiu anteriormente em operações patrocinadas por estados que exploravam a vulnerabilidade React2Shell e, desde então, foi adotado por outros agentes de ameaças.
O momento decisivo
Remova o carregador Node.js, os contratos inteligentes e a cadeia MSI; nada disso funciona sem que o funcionário concorde em entregar sua tela a alguém que o Teams já havia sinalizado como desconhecido.
Esse é o ponto de decisão. Não é "o PDF era suspeito?" ou "o interlocutor parecia legítimo?". O momento específico e reconhecível foi um aviso nativo da plataforma, exibido na tela durante uma chamada de alguém que alegava ser da TI interna.
O reconhecimento de padrões é a única defesa que é acionada rápido o suficiente para fazer diferença aqui. Um funcionário que já viu esse formato antes — um rótulo de "externo" em uma chamada que alega ser interna — faz uma pausa. Um funcionário que nunca viu, não faz.
Por que o treinamento tradicional falha nisso
A maioria dos programas de conscientização de segurança ainda é estruturada em torno do e-mail. Link suspeito, remetente falsificado, linha de assunto urgente. Essas lições não se aplicam a uma chamada telefônica dentro de uma ferramenta de colaboração confiável, porque a superfície de ataque mudou para um lugar que o treinamento nunca acompanhou.
Mesmo o treinamento que aborda o vishing tende a ensiná-lo como uma categoria, não como um padrão específico vinculado às ferramentas que os funcionários realmente usam todos os dias. O phishing por voz é agora o principal vetor de acesso inicial em ambientes de nuvem, de acordo com o relatório M-Trends 2026 da Mandiant — e continua funcionando justamente porque os funcionários não foram instruídos sobre como ele se parece dentro do Teams, Slack ou Zoom especificamente.
Um módulo trimestral sobre "golpes por telefone", criado a partir de uma biblioteca estática e atribuído a todos, independentemente do cargo, nunca prepararia um funcionário para um interlocutor externo se passando pelo seu próprio helpdesk, usando as convenções de nomenclatura da própria empresa, dentro da ferramenta que eles usam para chamadas internas o dia todo.
Como o Frame fecha essa lacuna
Essa é a diferença entre um modelo de treinamento orientado pelo fornecedor e um orientado pela ameaça. Um programa orientado pelo fornecedor ensina a partir de uma biblioteca fixa, atualizada conforme o cronograma do fornecedor, desconectada do que está realmente visando sua organização nesta semana. Um programa orientado pela ameaça cria treinamento a partir do que está acontecendo agora, nos canais que seus funcionários realmente usam.
O feed de Notícias do Setor do Frame destaca campanhas como esta assim que são relatadas. A equipe de segurança clica no artigo e o Content Studio gera um módulo de treinamento, construído em torno da mecânica real do ataque e do contexto único da sua organização. Está pronto para ser lançado em menos de 5 minutos. Sem esperar pelo calendário de conteúdo de um fornecedor.
Veja o Frame criar uma simulação em torno do ambiente da sua organização em menos de 5 minutos. Agende uma demonstração hoje mesmo.
Resumo rápido
- Um e-mail de phishing com o pretexto de uma "Pesquisa de Funcionários" levou a uma chamada de voz no Microsoft Teams de um atacante fingindo ser o suporte de TI, sinalizada pelo Teams como "Externo desconhecido".
- A vítima compartilhou sua tela, foi orientada a instalar ferramentas legítimas de acesso remoto (HopToDesk, AnyDesk) e, sem saber, permitiu o download de um instalador MSI malicioso.
- O instalador carregou o EtherRAT, um RAT multiplataforma que utiliza contratos inteligentes da Ethereum para ocultar sua infraestrutura de comando e controle.
- A única defesa realista é reconhecer o padrão específico — um chamador externo e desconhecido que afirma ser da TI interna, antes que o acesso à tela seja concedido.
- Treinamentos baseados em uma biblioteca estática, atualizados trimestralmente, estarão sempre um passo atrás de ataques que evoluem tão rapidamente. Já o treinamento orientado por ameaças, baseado nas campanhas reais desta semana, não.
