Relatórios recentes da indústria revelaram uma campanha de phishing que abusa de ferramentas legítimas de RMM e acesso remoto para obter acesso não autorizado aos sistemas das vítimas. Splashtop foi uma das ferramentas instaladas por atacantes nesta campanha, mas é importante esclarecer que este foi um caso de uso indevido através de engenharia social, não uma falha ou vulnerabilidade no Splashtop.
Neste ataque, os cibercriminosos enganam os destinatários para que baixem software de RMM e acesso remoto. Uma vez instalado, o software fornece aos hackers acesso remoto persistente ao sistema, permitindo que operem como se fossem administradores de TI autorizados. Esta tática permite que os atacantes contornem a detecção tradicional de malware e se misturem com a atividade legítima da rede.
Este blog vai explicar como o ataque funciona, por que ferramentas legítimas de acesso remoto estão sendo alvo, e o que você pode fazer para prevenir o uso indevido no seu ambiente.
Como o Ataque Funciona
Esta campanha de phishing segue uma sequência clara projetada para enganar os destinatários a instalar ferramentas legítimas de acesso remoto sob controle dos atacantes.
1. Entrega de Email de Phishing
Os atacantes enviam emails que parecem vir de fontes confiáveis, como notificações de compartilhamento de arquivos do Microsoft OneDrive. Estas mensagens são enviadas de contas comprometidas do Microsoft 365, aumentando sua credibilidade.
2. Hospedagem de Arquivo Malicioso
O link do email direciona o alvo para um instalador MSI malicioso hospedado na rede de entrega de conteúdo (CDN) do Discord. Hospedar o arquivo em um serviço conhecido ajuda a evitar alguns filtros de segurança.
3. Instalação de Ferramentas Legítimas de RMM e Acesso Remoto
Quando executado, o instalador implanta silenciosamente:
Splashtop Streamer
Atera Agent
Componentes de suporte como .NET Runtime 8
Instalar mais de uma ferramenta garante persistência. Se uma aplicação for detectada e removida, a outra ainda pode fornecer acesso.
4. Acesso e Controle Remoto
Com as ferramentas no lugar, os atacantes podem:
Aceder ao sistema remotamente
Mover ficheiros ou dados
Executar comandos como se fossem pessoal de TI autorizado
Por Que os Atacantes Usam Ferramentas Legítimas de Acesso Remoto
O software de acesso remoto e RMM é projetado para ajudar as equipes de TI a gerenciar dispositivos com segurança, solucionar problemas remotamente e realizar atualizações de qualquer lugar. Essas mesmas capacidades os tornam atraentes para atacantes quando mal utilizados:
Mistura-se com a atividade normal – O software é confiável e muitas vezes já está presente em muitos ambientes, então sua instalação pode não gerar suspeita imediata.
Contorna a detecção tradicional de malware – As ferramentas de segurança podem não sinalizar aplicações legítimas e assinadas digitalmente da mesma forma que fariam com executáveis desconhecidos.
Concede controle total do sistema – Uma vez instaladas, estas ferramentas dão o mesmo nível de acesso que um administrador de TI autorizado.
Garante persistência – Implantar mais de uma ferramenta (como visto nesta campanha) permite que o acesso permaneça mesmo se uma for removida.
Não Causado Por uma Falha de Software
Este tipo de uso indevido não é causado por uma vulnerabilidade no software. Em vez disso, resulta de engenharia social bem-sucedida. A maior arma do atacante é convencer alguém a instalar a ferramenta para eles, contornando os controles normais de TI.
Para que o ataque funcione, várias etapas tiveram que se alinhar:
Um email de phishing persuadiu o alvo a clicar em um link malicioso.
A vítima baixou e executou um instalador disfarçado.
O software foi instalado sem aprovação de TI.
O atacante conectou-se ao software recém-instalado.
Se qualquer uma dessas etapas for bloqueada, o ataque falha. É por isso que defesas fortes contra phishing, controles de instalação e medidas de segurança de contas são essenciais.
Prevenindo o Abuso do Splashtop no Seu Ambiente
Embora o software em si não tenha sido explorado nesta campanha, as organizações podem tomar medidas proativas para dificultar muito mais o uso indevido de software legítimo por atacantes:
Restringir a instalação de software a administradores aprovados através de políticas de gerenciamento de endpoints.
Educar os funcionários sobre como identificar tentativas de phishing, incluindo links suspeitos de compartilhamento de arquivos.
Lembre a equipe de nunca baixar ou executar instaladores de e-mails inesperados, mesmo que pareçam vir de fontes internas.
Incentivar o relato rápido de quaisquer mensagens suspeitas ou solicitações inesperadas de acesso remoto.
A combinação dessas medidas garante que, mesmo que um email de phishing passe, múltiplas salvaguardas impeçam que um atacante obtenha acesso.
Como o Splashtop Ajuda a Proteger o Acesso
Splashtop inclui recursos de segurança integrados projetados para dar às organizações controle sobre quem pode conectar, de onde, e sob quais condições. Quando configuradas corretamente, essas capacidades tornam muito mais difícil para os atacantes usarem a plataforma indevidamente.
As principais funcionalidades de segurança incluem:
Autenticação multifator (MFA) para verificar a identidade do usuário antes de conceder acesso.
Integração de single sign-on (SSO) para controle de acesso centralizado e aplicação de políticas de autenticação corporativa.
Controles de acesso baseados em função que permitem aos administradores limitar permissões com base na função de trabalho.
Autenticação de dispositivo para garantir que apenas máquinas aprovadas possam se conectar.
Registro e gravação de sessões para visibilidade sobre quem acessou o quê e quando.
Controles granulares de implantação para restringir a instalação do Splashtop Streamer a sistemas aprovados.
Nosso Compromisso com a Segurança
O Splashtop leva a segurança a sério e monitora de perto relatórios de ameaças cibernéticas que envolvem nossos produtos, mesmo quando a atividade é resultado de uso indevido em vez de uma vulnerabilidade. Acreditamos que a transparência é essencial para manter a confiança com nossos clientes e parceiros.
Nossas equipes de segurança e engenharia avaliam continuamente cenários potenciais de abuso, aprimoram as capacidades de detecção e fornecem orientações para ajudar os clientes a configurar o Splashtop com segurança. Quando surgem novas informações sobre ameaças, avaliamos se são necessárias mudanças nas funcionalidades do produto, configurações padrão ou materiais de educação do cliente.
Quando o Splashtop é implantado e gerido por administradores autorizados, ele continua a ser uma plataforma segura e confiável para acesso remoto. Ao combinar nossos recursos de segurança integrados com proteções de endpoint e treinamento de conscientização do usuário, as organizações podem reduzir significativamente o risco de uso indevido.
Explore nossos produtos Splashtop e entre em contato para saber mais sobre nossas soluções e segurança.
