Pesquisadores que acompanham uma campanha agora chamada Operation BlueDash documentaram uma operação de phishing que pula justamente a parte que a maioria das defesas de e-mail foi construída para detectar. Não há domínio parecido para sinalizar, nenhum remetente suplantado para bloquear, nenhuma verificação de autenticação falha para revisar. O e-mail simplesmente diz ao destinatário que um documento era grande demais para ser enviado diretamente e que, em vez disso, foi compartilhado com segurança pelo Microsoft Teams. Clicar no link é onde o ataque de verdade começa, e quando termina, a máquina da vítima está inscrita não em uma, mas em três plataformas comerciais distintas de monitoramento e gestão remota, todas instaladas pela própria mão da vítima.
A Isca É a Mensagem, Não o Domínio
O pretexto é quase agressivamente simples. Chega um e-mail afirmando que um arquivo era grande demais para ser anexado e que foi compartilhado pelo Teams por conveniência. Ao clicar, a vítima é levada por infraestrutura web comprometida até uma página falsa da Microsoft Store insistindo que uma atualização do Teams é necessária antes que o documento possa ser aberto. Essa única página falsa de atualização faz todo o trabalho do qual o restante da campanha depende. Não há anexo para escanear, nenhuma macro maliciosa, nenhum domínio remetente obviamente errado. O trabalho do e-mail é apenas conseguir um clique, e uma desculpa profissional plausível sobre um arquivo compartilhado já é suficiente.
Três Plataformas RMM Por Trás de Uma Única Atualização Falsa
O que a atualização falsa realmente instala é onde a Operation BlueDash se destaca. Os pesquisadores descobriram que a campanha inscrevia silenciosamente os equipamentos das vítimas no Level RMM, no ScreenConnect e no Tactical RMM, três ferramentas legítimas e distintas de monitoramento e gestão remota que dão ao atacante controle remoto total assim que instaladas. O Level RMM é uma adição nova ao conjunto de ferramentas que os pesquisadores já haviam rastreado em campanhas anteriores que usavam esse mesmo roteiro, e rodar vários agentes RMM ao mesmo tempo dá ao operador um acesso redundante: se uma vítima ou sua equipe de TI remove um deles, os outros permanecem silenciosamente no lugar.
A infraestrutura por trás da isca gira deliberadamente entre Netlify, GitHub Pages e Dropbox, distribuindo as páginas falsas de atualização e a entrega da carga maliciosa entre serviços que, por si só, são confiáveis e raramente bloqueados por completo. Os investigadores rastrearam o código-fonte do kit de phishing, os domínios personalizados e o histórico de commits até um repositório público do GitHub criado em fevereiro de 2026, expondo meses da atividade de desenvolvimento dos operadores. Um segundo repositório vinculado à mesma conta hospeda uma campanha paralela que usa uma isca de reunião do Zoom em vez do Teams, entregando o Tactical RMM pela mesma estrutura básica. O agente de ameaça por trás de ambas as campanhas foi atribuído com confiança moderada a alta a um grupo que opera a partir da Nigéria.
Por Que Isso Escapa Completamente do DMARC
O DMARC verifica se o domínio “From” de uma mensagem está autorizado a enviar em nome do domínio que ela diz representar. O e-mail da Operation BlueDash não precisa afirmar que vem da Microsoft, do Teams, ou de qualquer coisa que o servidor de e-mail do destinatário verificaria contra um registro DNS. Ele só precisa mencionar o Teams como mecanismo de entrega, uma afirmação que o DMARC não tem como avaliar porque é texto no corpo da mensagem, não em um cabeçalho. A suplantação de fato, a marca falsa da Microsoft Store e o aviso fraudulento de atualização, acontece inteiramente na web, uma camada que o DMARC nunca foi criado para tocar.
Mesmo um domínio com um registro DMARC perfeito aplicado em p=reject autenticaria esse e-mail sem objeção, porque o e-mail em si não está suplantando a identidade daquele domínio. E, uma vez que o Level RMM, o ScreenConnect ou o Tactical RMM está em execução, não sobra mais nada para autenticar. São produtos legítimos e assinados digitalmente, usados diariamente por provedores de serviços gerenciados. As ferramentas de segurança de endpoint criadas para sinalizar malware não assinado têm poucos motivos para reagir, porque, do ponto de vista do sistema operacional, a vítima instalou um software real e funcional de acesso remoto. Esse é todo o sentido de escolher ferramentas RMM comerciais em vez de malware personalizado: o software não é a anomalia. A decisão de instalá-lo é.
O Que as Equipes de Defesa Devem Fazer Agora
Tratar o “documento grande demais, enviado pelo Teams” como um pretexto roteirizado, não como uma notificação de rotina. Compartilhamentos legítimos de arquivos no Teams geram suas próprias notificações nativas dentro do próprio aplicativo; um e-mail que afirma isso fora desse fluxo merece um segundo olhar, não importa quão limpa a mensagem pareça.
Inventariar e restringir quais ferramentas RMM estão autorizadas a rodar no seu ambiente. O bloqueio por listas de aplicativos permitidos, impedindo software de acesso remoto não aprovado, mesmo produtos assinados e de boa reputação como Level RMM, ScreenConnect ou Tactical RMM, fecha exatamente a brecha da qual essa campanha depende.
Alertar sobre novas instalações de agentes RMM fora do seu processo de gestão de mudanças. Uma segunda ou terceira ferramenta de acesso remoto aparecendo em um equipamento que já tem uma da sua própria infraestrutura de TI é um dos sinais mais claros disponíveis de que algo fora do seu processo a instalou.
Mantenha seus próprios domínios em aplicação de DMARC de qualquer forma. Isso não vai impedir uma isca como essa, mas ainda fecha o caminho mais comum pelo qual um atacante envia e-mail se passando diretamente pela sua organização, liberando a atenção da sua equipe para ameaças como a BlueDash, que operam inteiramente fora da autoridade do DMARC.
A Conclusão
A Operation BlueDash tem sucesso por ser discreta exatamente na camada que as ferramentas de segurança de e-mail inspecionam. Sem domínio suplantado, sem autenticação falha, sem anexo sinalizado, apenas uma desculpa plausível e três softwares reais e assinados fazendo exatamente o que foram criados para fazer. O DMARC impede que seu próprio nome seja usado diretamente contra você, o que vale a pena ter de qualquer forma. Ele simplesmente nunca foi a camada criada para impedir que uma falsa página de atualização de software convença um usuário a instalar sua própria porta dos fundos de acesso remoto.
A Excello Mail mantém todos os domínios que você possui totalmente autenticados e aplicados, fechando os caminhos de suplantação direta para que a atenção da sua equipe de segurança vá para onde campanhas como a Operation BlueDash realmente vivem, na infraestrutura web e nas instalações de software que o DMARC nunca foi criado para ver. Cadastre-se gratuitamente na Excello Mail para ver hoje mesmo a postura real de autenticação do seu domínio.