Acesso Remoto

Pesquisadores da Huntress identificaram que membros do grupo de ransomware Crazy estão utilizando softwares legítimos de monitoramento de funcionários e ferramentas de suporte remoto, como o SimpleHelp, para manter acesso persistente em redes corporativas e se preparar para a implantação de ransomware. Os atacantes instalaram o Net Monitor for Employees Professional em sistemas comprometidos, permitindo acesso remoto completo, incluindo visualização de desktop e execução de comandos. Além disso, tentaram ativar a conta de administrador local e instalaram o cliente SimpleHelp para garantir acesso contínuo, mesmo que o software de monitoramento fosse removido. Os atacantes monitoraram atividades relacionadas a carteiras de criptomoedas e ferramentas de gerenciamento remoto, buscando detectar qualquer atividade suspeita. A Huntress alerta que a utilização de ferramentas de gerenciamento remoto legítimas tem se tornado comum em intrusões de ransomware, permitindo que os atacantes se misturem ao tráfego de rede normal. A recomendação é que as organizações monitorem de perto a instalação não autorizada de tais ferramentas e implementem autenticação multifator (MFA) em serviços de acesso remoto para proteger suas redes.

A BeyondTrust anunciou atualizações para corrigir uma vulnerabilidade crítica em seus produtos de Suporte Remoto (RS) e Acesso Remoto Privilegiado (PRA). Identificada como CVE-2026-1731, a falha permite que um atacante remoto não autenticado execute comandos do sistema operacional, potencialmente resultando em acesso não autorizado, exfiltração de dados e interrupção de serviços. A vulnerabilidade, classificada com uma pontuação de 9.9 no sistema CVSS, afeta as versões do Remote Support até 25.3.1 e do Privileged Remote Access até 24.3.4. A BeyondTrust recomenda que os clientes que não utilizam atualizações automáticas apliquem manualmente o patch disponível nas versões 25.3.2 e 25.1.1 ou superiores. A falha foi descoberta em 31 de janeiro de 2026, e cerca de 11.000 instâncias estão expostas na internet, com aproximadamente 8.500 delas sendo implementações locais. Dada a gravidade da vulnerabilidade e o histórico de exploração ativa em produtos da BeyondTrust, é crucial que os usuários atualizem para as versões mais recentes o quanto antes.

Pesquisadores de cibersegurança alertaram sobre uma nova extensão maliciosa do Microsoft Visual Studio Code (VS Code) chamada “ClawdBot Agent - AI Coding Assistant”. Publicada em 27 de janeiro de 2026, a extensão se disfarça como um assistente de codificação baseado em inteligência artificial, mas na verdade instala um payload malicioso nos sistemas dos usuários. A extensão foi rapidamente removida pela Microsoft após a identificação do problema.

O malware, vinculado ao projeto Moltbot, permite que atacantes obtenham acesso remoto persistente aos dispositivos comprometidos. Ao ser instalada, a extensão executa automaticamente um arquivo que baixa um programa legítimo de acesso remoto, o ConnectWise ScreenConnect, permitindo que os invasores controlem o sistema da vítima. Além disso, a extensão possui mecanismos de fallback que garantem a entrega do payload mesmo se a infraestrutura de comando e controle for desativada.

Pesquisadores de cibersegurança revelaram uma nova campanha de ataque que utiliza credenciais roubadas para implantar software legítimo de Monitoramento e Gerenciamento Remoto (RMM), permitindo acesso remoto persistente a sistemas comprometidos. Os atacantes, em vez de usar vírus personalizados, exploram ferramentas de TI confiáveis pelos administradores, transformando-as em portas dos fundos. A campanha ocorre em duas fases: inicialmente, e-mails falsos disfarçados de convites da plataforma Greenvelope são enviados para roubar credenciais de serviços como Microsoft Outlook e Yahoo!. Após obter essas informações, os atacantes registram-se no LogMeIn com o e-mail comprometido para gerar tokens de acesso RMM. Um executável chamado ‘GreenVelopeCard.exe’, assinado com um certificado válido, é então utilizado para instalar o LogMeIn Resolve, permitindo que os atacantes alterem configurações de serviço e criem tarefas agendadas ocultas para garantir acesso contínuo. Para mitigar essa ameaça, recomenda-se que as organizações monitorem instalações e padrões de uso não autorizados de RMM.

Com o aumento do trabalho remoto e híbrido, as organizações enfrentam desafios significativos em relação à segurança de acesso a sistemas críticos. O modelo tradicional de Gestão de Acesso Privilegiado (PAM) já não é suficiente, pois se limita a ambientes internos. A Gestão de Acesso Privilegiado Remoto (RPAM) surge como uma solução eficaz, permitindo que administradores, contratados e fornecedores tenham acesso seguro a partir de qualquer local e dispositivo. RPAM aplica controles de acesso rigorosos, verifica identidades e monitora sessões privilegiadas sem expor credenciais ou depender de VPNs. Essa abordagem não apenas melhora a segurança, mas também atende às exigências de conformidade, automatizando o registro de sessões e criando trilhas de auditoria detalhadas. A adoção de RPAM está crescendo rapidamente devido à necessidade de controles de acesso robustos em um cenário de trabalho remoto, à vulnerabilidade de métodos tradicionais de acesso remoto e à pressão para atender a regulamentações como a ISO 27001 e HIPAA. O futuro da gestão de acesso privilegiado está na integração de soluções RPAM, que oferecem controle nativo em nuvem e suporte a arquiteturas de segurança de confiança zero, essenciais para proteger contas privilegiadas em ambientes modernos.

O relatório da FortiGuard sobre a primeira metade de 2025 revela que ataques cibernéticos motivados financeiramente dominaram os padrões de incidentes, destacando o uso abusivo de credenciais legítimas e ferramentas de gerenciamento remoto. Os atacantes estão optando por métodos de intrusão discretos e de baixa complexidade, utilizando logins válidos e canais de acesso remoto para se misturar às operações normais das empresas. O relatório também aponta que, embora ataques cibernéticos habilitados por IA chamem atenção, há pouca evidência de seu uso operacional eficaz. As violações baseadas em credenciais e o uso indevido de acesso remoto continuam sendo os principais vetores de acesso inicial. As técnicas de acesso inicial mais comuns incluem credenciais comprometidas e exploração de serviços VPN expostos. Após a intrusão, os atacantes utilizam ferramentas legítimas como AnyDesk e Splashtop para manter a persistência e exfiltrar dados. A Fortinet recomenda que as defesas se concentrem em detecções baseadas em identidade e comportamento, além de implementar controles de segurança como autenticação multifator (MFA) e políticas de acesso condicional. O alerta é claro: os atacantes não precisam mais hackear para entrar, eles simplesmente fazem login.

O Atroposia é um novo trojan de acesso remoto (RAT) que vem ganhando popularidade em fóruns underground, sendo oferecido como um kit de ferramentas de cibercrime acessível e modular. Com um custo de aproximadamente R$ 1.000 por seis meses, ele é projetado para atacantes com pouca ou nenhuma habilidade técnica. Entre suas funcionalidades, destaca-se o HRDP Connect, que permite acesso remoto invisível ao desktop da vítima, possibilitando que os atacantes interajam com o sistema sem serem detectados. Além disso, o Atroposia inclui um módulo de escaneamento de vulnerabilidades, que identifica falhas em sistemas comprometidos, e mecanismos robustos de persistência que garantem a continuidade do acesso mesmo após reinicializações. Outro recurso preocupante é a captura do conteúdo da área de transferência, que pode extrair informações sensíveis em tempo real. O uso de técnicas como o sequestro de DNS para redirecionar tráfego também é uma ameaça significativa, permitindo ataques de phishing e comprometimento de redes. A Varonis alerta que a evolução de ferramentas como o Atroposia representa um desafio crescente para a segurança cibernética, exigindo que as empresas adotem análises comportamentais avançadas para detectar atividades suspeitas.

Grupos de ransomware têm utilizado ferramentas de acesso remoto (RATs) legítimas, como AnyDesk e UltraViewer, para estabelecer pontos de acesso furtivos e evitar detecções. Ao abusar de versões gratuitas ou empresariais dessas ferramentas, os atacantes conseguem contornar controles de segurança tradicionais, aproveitando assinaturas digitais confiáveis e canais criptografados para manter a persistência e movimentar-se lateralmente na rede.

Após o acesso inicial, geralmente por meio de força bruta em RDP ou reutilização de credenciais, os operadores exploram serviços RAT pré-instalados. Técnicas como ‘sequestro’ de serviços e instalação silenciosa são comuns, permitindo que os atacantes evitem alertas de segurança. Uma vez que os serviços RAT estão ativos, eles escalam privilégios e manipulam políticas de segurança do Windows para excluir diretórios RAT de varreduras de antivírus.

Uma campanha sofisticada de malware sem arquivo foi descoberta, utilizando o AsyncRAT, um poderoso Trojan de Acesso Remoto. Pesquisadores da LevelBlue detalharam a metodologia do ataque, que começa com um cliente ScreenConnect comprometido, um software legítimo de acesso remoto. Os atacantes estabelecem uma sessão interativa através de um domínio malicioso, executando um arquivo VBScript que aciona comandos PowerShell para baixar dois payloads externos.

Os payloads são carregados diretamente na memória, sem deixar vestígios em disco, utilizando técnicas de reflexão. A primeira etapa do malware, Obfuscator.dll, é responsável por inicialização, persistência e técnicas de evasão. A persistência é alcançada através de uma tarefa agendada disfarçada de “Skype Updater”. O segundo componente, AsyncClient.exe, implementa funcionalidades de comando e controle, realizando reconhecimento do sistema e coletando informações sensíveis, como dados de carteiras de criptomoedas. O uso de técnicas avançadas de evasão e a execução apenas em memória tornam o AsyncRAT uma ameaça significativa para a segurança cibernética, destacando a necessidade de soluções de segurança mais robustas.