O alerta surgiu em 7 de maio, quando a BleepingComputer relatou que grupos de ameaças estavam explorando o recurso Zara do Microsoft Teams – chamadas de voz que permitem que usuários façam ligações internas e externas. Os atacantes se apresentavam como membros da equipe de TI corporativa, alegando problemas de segurança ou atualizações urgentes. A vítima, ao atender a ligação, era instruída a instalar um arquivo .exe que, na realidade, era o ransomware EtherRAT, um malware de acesso remoto que permite a captura de credenciais, controle de dispositivos e exfiltração de dados.

Em apenas três semanas, o esquema já havia sido confirmado em mais de 30 organizações em diferentes setores, incluindo saúde, finanças e manufatura. A BleepingComputer destacou que o EtherRAT continua em fase de evolução, com versões que se escondem em pastas legítimas e usam técnicas de ofuscação para evitar detecção por antivírus tradicional.

Para os brasileiros, o impacto pode ser ainda maior. O Brasil é um alvo frequente de golpes corporativos, e a adoção crescente de ferramentas de colaboração como o Teams, impulsionada pela pandemia, ampliou a superfície de ataque. Se um colaborador desconfia de uma ligação interna, mas aceita a solicitação de instalar um arquivo “para corrigir um bug”, o resultado pode ser a perda de dados sensíveis e a exposição de contas de acesso privilegiado. Empresas que não tenham políticas claras de verificação de identidade e treinamento de conscientização de phishing podem sofrer danos financeiros significativos, além de multas por não cumprirem a Lei Geral de Proteção de Dados (LGPD) quando informações pessoais forem comprometidas.

O mecanismo do ataque é relativamente simples, mas eficaz. O atacante inicia uma chamada de voz no Teams, utilizando a conta do usuário de TI ou criando uma conta de “suporte” já configurada no domínio da vítima. Durante a chamada, o atacante solicita ao colaborador que abra o Teams, procure por um “anexo” ou “arquivo” enviado na conversa e execute o arquivo. O EtherRAT, ao ser executado, instala um daemon que mantém uma conexão direta com o servidor de comando e controle do atacante. O malware então escaneia a máquina, coleta credenciais de domínio, executa comandos de lateral movement e pode criptografar arquivos se o atacante decidir avançar para um ataque de ransomware.

Para impedir que isso aconteça, as organizações brasileiras devem adotar uma abordagem de múltiplas camadas. Primeiro, implementar autenticação multifator (MFA) para todas as contas de TI, reduzindo a probabilidade de que credenciais vazadas sejam usadas em chamadas falsas. Em seguida, habilitar o “Team Calling” apenas para usuários autorizados, limitando quem pode criar chamadas de voz. Além disso, treinar os colaboradores para reconhecer sinais de phishing, como solicitações inesperadas de instalação de software, e para sempre confirmar a identidade do interlocutor por meio de canais oficiais – por exemplo, chamando o número interno de TI ou enviando uma mensagem de confirmação na plataforma corporativa.

O que fazer agora? Se você recebeu uma chamada suspeita, desligue imediatamente e comunique ao seu supervisor ou à equipe de segurança da informação. Não permita a execução de nenhum arquivo enviado via Teams sem validação prévia. As empresas devem escalonar o incidente para a equipe de SOC (Security Operations Center) e, se necessário, desativar temporariamente os recursos de chamada de voz até que a investigação seja concluída.

Nos próximos dias, espera-se que os atacantes tentem refinar o método, talvez incorporando técnicas de engenharia social mais sofisticadas, como a criação de scripts que mimetizem o comportamento de uma atualização de software legítima. A comunidade de segurança deve ficar atenta a novas variantes do EtherRAT que possam explorar vulnerabilidades no próprio Teams ou no protocolo de voz. Manter o software atualizado, monitorar logs de chamadas e usar ferramentas de detecção de anomalias serão estratégias cruciais para mitigar a ameaça.

Em síntese, o uso de chamadas de voz do Teams como vetor de entrega de malware representa um risco concreto e emergente para empresas brasileiras. A combinação de engenharia social, falta de verificação de identidade e ausência de controles de acesso cria um cenário propício para que o EtherRAT se instale e se expanda. A prevenção, portanto, passa por reforçar políticas de segurança, treinar usuários e implementar tecnologias de autenticação robustas. Somdedes, a comunidade de segurança no Brasil pode conter o avanço desses golpes e proteger dados sensíveis de acordo com os requisitos da LGPD e das melhores práticas globais de cibersegurança дөл

Fonte: BleepingComputer