Microsoft alerta sobre phishing que engana funcionários de hotéis com falsas reclamações

Uma campanha ativa de phishing tem mirado hotéis e outras organizações do setor de hospitalidade na Europa e na Ásia desde abril de 2026, usando arquivos ZIP com tema de fotos para instalar um implante baseado em Node.js em máquinas de recepção e front desk, segundo a Microsoft.

A empresa ainda não atribuiu a atividade a um grupo hacker conhecido, e o objetivo final dos operadores permanece indefinido. Até o momento, não há confirmação pública de roubo de dados, implantação de ransomware ou identificação de vítimas específicas.

A campanha explora rotinas comuns do setor hoteleiro. Os e-mails fraudulentos usam o nome de exibição “Booking Manager (via Calendly)” e fazem referência a reclamações de hóspedes, infestações de percevejos, consultas sobre quartos, inspeções sanitárias e avaliações de estadia. A abordagem busca pressionar equipes de atendimento com temas sensíveis para hotéis, como reputação, reclamações públicas, avisos finais e supostas fiscalizações.

As mensagens foram observadas em japonês, dinamarquês e holandês, com maior predominância do japonês. Segundo a análise, os assuntos dos e-mails não mencionam diretamente o destinatário nem a propriedade hoteleira, o que sugere uma operação de envio em larga escala baseada em listas, e não uma campanha de spear phishing altamente personalizada.

Um dos pontos centrais da operação está na forma de entrega. Os invasores roteiam as mensagens pelo sistema de notificações por e-mail do Calendly e pelo serviço de redirecionamento de URLs do Google. A Microsoft descreve essa técnica como “authentication laundering”, ou lavagem de autenticação.

Na prática, os e-mails enviados pelo fluxo direto do Calendly conseguem passar por verificações como SPF, DKIM e DMARC, porque de fato são enviados a partir de uma infraestrutura autorizada. Essas validações confirmam que o remetente tem permissão para enviar a mensagem, mas não indicam se o conteúdo é legítimo ou malicioso.

Após o clique, a vítima é conduzida por uma cadeia de redirecionamentos que passa por um link do Calendly, pelo domínio share.google e por um redirecionamento do Google até chegar a um domínio .cfd recém-registrado, protegido pelo Cloudflare. Esse domínio também usa um desafio Turnstile, que funciona como uma barreira adicional contra análises automatizadas e ambientes de investigação.

Ao prosseguir, o alvo baixa um arquivo com o nome no formato photo-<números>.zip. Dentro do arquivo compactado há um atalho do Windows disfarçado de imagem. Na primeira onda da campanha, o arquivo aparecia como IMG-<números>.png.lnk; na segunda, como PHOTO-<números>.png.lnk.

Quando o usuário abre o suposto arquivo de imagem, o atalho executa PowerShell. O script usa operações aritméticas com BigInt para decodificar uma URL oculta de download, baixa um arquivo .ps1 para o diretório %TEMP% e instala, no espaço do usuário, uma versão legítima do runtime Node.js v24.13.0 a partir do domínio oficial nodejs.org. Em seguida, esse runtime executa o implante JavaScript, sem necessidade de instalação global do Node.js no sistema.

O implante foi rastreado como TonRAT. De acordo com a SOC Prime, ele resolve seus domínios de comando e controle por meio da API da blockchain TON e, depois disso, abre um canal WebSocket criptografado. Essa técnica permite que os domínios sejam obtidos dinamicamente, reduzindo a eficácia de listas de bloqueio estáticas.

Após a infecção, o TonRAT realizou comunicação com IPs fixos usando portas não padronizadas, incluindo 8443, 8445, 8453, 5555 e o intervalo de 56001 a 56003. Em alguns hosts, também foram observados sinais de automação de navegador em modo headless, com parâmetros como --headless e --no-sandbox, além de uma verificação de geolocalização via ip-api.com e um comando de desligamento forçado do sistema por meio de cmd /c shutdown -s -t 0.

A Microsoft não informou, até agora, se a campanha resultou em exfiltração confirmada de dados, implantação de ransomware ou comprometimento de organizações nomeadas. Ainda assim, a presença de um implante com comunicação criptografada e persistência em ambiente de usuário indica uma ameaça que pode manter acesso prolongado a máquinas usadas em operações sensíveis do setor hoteleiro.

A remediação exige atenção a dois caminhos de persistência. Segundo as informações divulgadas, é necessário remover tanto a entrada RunOnce que aponta para ProgramData quanto a chave Run associada ao Node.js, além dos arquivos do runtime e dos scripts .js armazenados em AppData\Local\Nodejs. A remoção de apenas um dos mecanismos pode deixar parte da infecção ativa.

Ambientes de recepção, reservas e front office devem ser priorizados nas verificações, já que são os sistemas mais expostos a esse tipo de isca. Esses setores costumam receber comunicações externas de hóspedes, plataformas de reserva, fornecedores e canais de atendimento, o que aumenta a probabilidade de interação com mensagens aparentemente legítimas.

A campanha não é totalmente nova. A SOC Prime e a ITOCHU já haviam documentado, cerca de duas semanas antes, a mesma atividade de phishing contra hotéis e a cadeia de ataque baseada em arquivo LNK, PowerShell e Node.js. A Microsoft afirmou que suas descobertas estão alinhadas com esses relatórios anteriores.

Phishing com tema de reservas e plataformas de hotelaria também já apareceu em outras campanhas contra funcionários de hotéis, incluindo operações do tipo ClickFix que distribuíram o PureRAT para roubar credenciais do Booking.com. Esse padrão mostra como o setor de hospitalidade segue sendo explorado por invasores que abusam de fluxos operacionais legítimos, pressão reputacional e ferramentas confiáveis para aumentar a taxa de sucesso dos ataques.

O ponto ainda em aberto é a motivação final dos operadores. Os relatórios disponíveis não confirmam se o objetivo é roubo de credenciais, espionagem, fraude financeira, preparação para ransomware ou venda de acesso inicial. Mesmo assim, a combinação de entrega por infraestrutura legítima, uso de redirecionamentos, abuso de Node.js e persistência dupla torna a campanha mais complexa do que um phishing tradicional com tema de reservas.