A maioria das publicações desta série analisa o que um e-mail de phishing faz enquanto ainda é um e-mail: de qual domínio ele afirma vir, qual link carrega, atrás de qual anexo se esconde. A pesquisa que a Huntress publicou em 2 de setembro descreve uma campanha em que o e-mail quase não importa. Entre 21 de julho e 20 de agosto, iscas com tema Faronics disfarçadas de faturas, documentos fiscais e outros arquivos comerciais rotineiros chegaram a mais de 457 endpoints, e cada etapa relevante do ataque aconteceu depois que o destinatário já havia parado de olhar para a própria caixa de entrada.
Um Instalador Legítimo Renomeado Como Adobe.exe
Os e-mails-isca não carregavam malware em nenhum sentido convencional. Carregavam um link ou anexo que levava a um instalador genuinamente assinado do Faronics Deploy, uma plataforma real de gestão de endpoints que equipes de TI usam para distribuir software e scripts em toda uma frota de máquinas, renomeado para parecer um leitor da Adobe, uma atualização de plugin ou um visualizador de documentos. As vítimas que executaram o arquivo, muitas vezes salvo como “Adobe.exe”, não estavam instalando malware. Estavam instalando software legítimo que, de quebra, inscrevia o computador em um ambiente de implantação do Faronics controlado pelos atacantes, em vez de um operado pelo próprio departamento de TI.
Da Inscrição ao Acesso Remoto, Sem Um Segundo E-mail
Uma vez inscrita, a máquina passava a receber, por meio da própria funcionalidade de implantação remota do Faronics Deploy, exatamente o recurso para o qual o produto foi criado, scripts de PowerShell executados sem necessidade de mais cliques ou avisos. Esses scripts baixavam ferramentas adicionais da infraestrutura do atacante e de fontes públicas como o GitHub, instalando por fim o ConnectWise ScreenConnect: outra ferramenta legítima e assinada de suporte remoto, agora sob controle do atacante em vez de uma central de atendimento. A Huntress reportou o abuso à Faronics em 5 de agosto. A Faronics informou ter observado os mesmos agentes tentando registrar suas próprias contas Faronics usando organizações personificadas, domínios fraudulentos e contas comprometidas, construindo efetivamente a infraestrutura de envio e hospedagem para escalar a campanha. A empresa adicionou medidas antiabuso e passou a contatar as organizações afetadas, e a atividade observada caiu drasticamente a partir de 21 de agosto.
Por Que o DMARC Nunca Foi Feito Para Detectar Isso
O DMARC responde a uma única pergunta sobre um único artefato: se o domínio no cabeçalho From de uma mensagem autorizou a infraestrutura que a enviou. Essa pergunta se aplica ao e-mail-isca inicial e deixa de se aplicar no momento em que o destinatário clica e baixa um arquivo. O instalador da Faronics é assinado por um fornecedor real. A plataforma de implantação faz exatamente o que foi projetada para fazer. O ScreenConnect é software que centrais de atendimento instalam todos os dias. Nenhum dos três é uma mensagem com um cabeçalho From, o que significa que nenhum dos três é algo que o DMARC tenha como avaliar. Um proprietário de domínio pode aplicar o DMARC em p=reject em todos os domínios que possui e mesmo assim não descobrir que uma máquina acabou de se inscrever em um console de implantação que a equipe de segurança nunca viu, porque, quando isso acontece, a autenticação de e-mail já terminou o único trabalho para o qual foi projetada.
O Que Isso Significa Para o Seu Programa
Trate o e-mail-isca como o primeiro movimento, não como o incidente inteiro. Filtragem e treinamento de conscientização que param em “esta mensagem parecia legítima?” deixam passar toda a cadeia de instalação que segue um único clique, que é onde essa campanha realmente fez seu trabalho.
Fique atento à inscrição inesperada em plataformas de gestão remota que sua organização não opera. Uma máquina aparecendo em um console de implantação desconhecido é um sinal de comprometimento mais forte do que qualquer coisa visível no e-mail que a originou.
Estenda sua revisão de confiança a software assinado que você não implantou. Uma assinatura de código válida responde “este arquivo foi adulterado?”, não “o software desse fornecedor deveria estar rodando nesta rede?”, e os atacantes contam justamente com essa distinção não sendo examinada.
Reporte rapidamente o abuso de plataformas legítimas ao fornecedor. A divulgação da Huntress à Faronics em 5 de agosto explica boa parte de por que a atividade dessa campanha despencou até 21 de agosto; fornecedores conseguem agir rápido contra o abuso de sua própria infraestrutura assim que sabem que está acontecendo.
A Conclusão
O DMARC cumpriu seu papel no e-mail que iniciou essa cadeia, qualquer que tenha sido o resultado, e depois o ataque se moveu inteiramente para um terreno que o DMARC nunca foi feito para enxergar: um instalador assinado, uma plataforma de implantação legítima e uma ferramenta de suporte remoto fazendo exatamente o que cada uma foi projetada para fazer, só que para o operador errado. Fechar essa brecha significa observar para onde um clique leva, não apenas o que um cabeçalho From afirma.
O DMARC confirma que um domínio tinha autoridade para enviar uma mensagem. Ele não pode dizer que um instalador legítimo e assinado, baixado um minuto depois de abrir essa mensagem, acabou de inscrever a máquina no console de implantação de um atacante. A Excello Mail transforma seus relatórios agregados de DMARC em um registro claro e contínuo de cada domínio e serviço que envia em seu nome, para que a camada de autenticação permaneça sólida enquanto sua equipe observa para onde um anexo ou link leva depois que a mensagem em si já desapareceu. Cadastre-se gratuitamente na Excello Mail e tenha essa base pronta.