Hackers usam sistema de nota fiscal eletrônica e softwares legítimos para invadir redes corporativas no Brasil

Pesquisadores da Cisco Talos emitiram um alerta sobre uma nova campanha maliciosa que tem como alvo usuários de língua portuguesa no Brasil desde janeiro de 2025. O ataque utiliza versões de teste de softwares legítimos de monitoramento e gerenciamento remoto (RMM), explorando a confiança dos usuários para obter acesso não autorizado a sistemas corporativos.

Segundo o pesquisador Guilherme Venere, da Cisco Talos, os e-mails de spam simulam notificações do sistema brasileiro de Nota Fiscal Eletrônica (NF-e) para induzir os destinatários a clicarem em links hospedados no Dropbox. Esses links levam a instaladores de softwares como N-able RMM Remote Access e PDQ Connect, ferramentas legítimas que permitem leitura e escrita de arquivos em sistemas remotos. Após a instalação inicial, os hackers aproveitam o acesso remoto para instalar outros programas como o ScreenConnect, ampliando sua presença nos dispositivos comprometidos.

A campanha tem como principal alvo executivos de alto escalão (C-level), além de profissionais das áreas financeira e de recursos humanos em diversos setores, incluindo instituições educacionais e governamentais. Os especialistas atribuem a ofensiva a corretores de acesso inicial (IABs, na sigla em inglês), que exploram os períodos gratuitos de testes dos softwares RMM para invadir sistemas empresariais. Em resposta, a N-able desativou as contas de avaliação afetadas.

Venere ressalta que o uso abusivo de ferramentas comerciais por hackers tem crescido nos últimos anos. Por serem assinadas digitalmente por empresas confiáveis, essas soluções passam despercebidas por muitos mecanismos de segurança. Além disso, como o uso das versões de avaliação é gratuito, os cibercriminosos não precisam investir em infraestrutura para operar suas campanhas.

Esse tipo de ataque faz parte de uma tendência mais ampla, que inclui diversas campanhas de phishing projetadas para contornar as defesas modernas e disseminar malwares variados ou roubar credenciais. Entre os exemplos recentes, destacam-se:

• Um grupo hacker sul-americano, conhecido como Hive0148, disseminando o trojan bancário Grandoreiro no México e na Costa Rica;

• Uso da plataforma GetShared para hospedar malwares e burlar proteções;

• Distribuição do Formbook, via documento do Word explorando uma falha antiga no Equation Editor (CVE-2017-11882);

• Implantação do trojan Ratty RAT na Europa, com capacidades de comando remoto, keylogging, captura de tela e roubo de dados;

• Phishing com a ferramenta de anotações Milanote e o kit Tycoon 2FA para enganar vítimas simulando novos acordos comerciais;

• Estratégias avançadas de phishing com arquivos SVG e PDF maliciosos, URLs dinâmicas em arquivos hospedados no OneDrive e cargas ocultas em estruturas OpenXML;

• Abuso da funcionalidade TryCloudflare para disseminar o malware AsyncRAT.

O pesquisador Yuval Guri, da empresa Intezer, destacou que, apesar dos avanços em soluções de segurança, os hackers continuam a inovar para escapar das defesas de e-mail e endpoint, tornando as tentativas de phishing cada vez mais difíceis de detectar e conter.

Via - THN