Uma pesquisa da ANY.RUN, publicada em 25 de agosto, começou com algo restrito: uma onda de falsos comprovantes fiscais T4 da Agência de Receita do Canadá chegando a caixas de entrada canadenses. Quando os pesquisadores terminaram de rastrear a infraestrutura por trás desses e-mails, o quadro havia mudado completamente. A mesma operação funcionava em 46 países, usando um elenco rotativo de iscas fiscais, de envio e de faturas, e os Estados Unidos, não o Canadá, haviam se tornado seu maior alvo individual, respondendo por aproximadamente 45 por cento da atividade observada. A cobertura do The Hacker News em 3 de setembro levou o alcance completo a um público mais amplo. O que torna essa campanha digna de um olhar mais atento não é a isca. É o que acontece depois do clique, onde a carga útil não é malware algum, mas sim uma ferramenta de acesso remoto totalmente legítima e assinada digitalmente.
Uma Isca Que Superou Seu Próprio País
A ANY.RUN rastreou a atividade da campanha até janeiro de 2026 e, partindo desse ponto, identificou 425 URLs do kit de phishing espalhadas por 240 hosts entre 5 de fevereiro e 29 de julho. Seu sandbox conectou 601 casos independentes à operação mais ampla. O tema do T4 da CRA que primeiro chamou atenção era apenas uma variante dentro de um conjunto rotativo: a mesma infraestrutura já carregou avisos da Administração de Previdência Social dos Estados Unidos, janelas que imitam o Adobe PDF, faturas, alertas de IVA, notificações de envio da UPS e de outras transportadoras, e iscas genéricas de arquivos compartilhados. Educação, tecnologia e governo estão entre os setores mais visados, junto com uma presença constante em bancos, finanças e manufatura.
Infraestrutura Construída Para Desaparecer
Os operadores não registram domínios imitadores e esperam que sejam sinalizados. A ANY.RUN identificou 82 aplicações idênticas em código hospedadas no Vercel, cada uma ativa por apenas um dia antes de ser substituída, junto com páginas no Netlify e GitHub Pages, sites legítimos comprometidos e um conjunto rotativo de domínios descartáveis. Uma página de destino construída assim parece, para a maioria dos filtros, exatamente o que é: uma página hospedada em uma plataforma de desenvolvimento confiável que milhões de projetos legítimos também usam. No momento em que uma única página é sinalizada, ela já foi substituída por uma nova.
O Arquivo Protegido Por Senha É o Ponto Central
Clicar na isca não entrega um arquivo diretamente. Entrega um código de acesso, que desbloqueia um arquivo ZIP protegido por senha hospedado nessa página de destino descartável. Essa etapa não é um incômodo para a vítima, é o próprio design. Gateways de e-mail automatizados e sandboxes que escaneiam anexos não conseguem abrir um arquivo protegido por senha sem o código, e esse código só existe na página web, não no e-mail em si. As ferramentas de escaneamento criadas para detectar um anexo malicioso antes que ele chegue a uma caixa de entrada não têm nada para inspecionar.
Dentro do arquivo há um script VBS. Executá-lo aciona o PowerShell, que baixa e instala silenciosamente a verdadeira carga útil da operação.
Software Legítimo Como Carga Útil Final
Essa carga útil não é malware personalizado. Ao longo da campanha, a ANY.RUN observou a instalação de ferramentas reais e assinadas digitalmente de monitoramento e gestão remota, incluindo ScreenConnect, ConnectWise, Atera, PDQ Connect, GoTo Resolve, LogMeIn Rescue, ITarian, Syncro, JumpCloud, GetScreen e SuperOps. Em vários casos, os operadores encadearam mais de uma ferramenta RMM na mesma máquina da vítima, construindo um acesso remoto redundante e com controle direto, de modo que remover uma ferramenta não encerra a intrusão. Como o software instalado é genuíno e está devidamente assinado, ele não dispara os mesmos alertas que um cavalo de troia personalizado dispararia. Para uma ferramenta de endpoint que verifica uma assinatura, isso parece um departamento de TI fazendo seu trabalho.
Por Que o DMARC Nunca Vê Nada Disso
Todo o trabalho do DMARC é responder a uma única pergunta: se o domínio no cabeçalho From de uma mensagem realmente autorizou aquele envio. Quando ele cumpre bem essa função, com a política p=reject, impede que um atacante falsifique seu domínio em um e-mail de phishing. Isso é algo real e valioso de se controlar.
Nada disso chega perto do mecanismo real dessa campanha. O link no e-mail aponta para um subdomínio do Vercel ou do Netlify, não para uma versão falsificada do próprio domínio do destinatário nem de uma marca em que ele confia, então não há personificação para o DMARC detectar, para começar. O código de acesso sobre o arquivo ZIP fica completamente fora de qualquer protocolo que inspecione os cabeçalhos de uma mensagem. O script VBS e o comando do PowerShell que ele aciona são executados depois que o e-mail já foi lido e considerado confiável. E a ferramenta que finalmente chega à máquina da vítima não é um software marcado com uma identidade falsa, é o verdadeiro ScreenConnect ou o verdadeiro Atera, com a assinatura real do fornecedor, fazendo exatamente o que foi projetado para fazer para quem o controla. O DMARC autentica o nome de um remetente. Ele não tem nenhum mecanismo para avaliar uma página de destino descartável, um arquivo criptografado ou um binário legítimo apontado para o operador errado.
O Que Isso Significa Para o Seu Programa
Não equipare uma plataforma de hospedagem confiável a um link confiável. Uma URL em vercel.app, netlify.app ou github.io não carrega nada da reputação da própria plataforma, e os subdomínios descartáveis que vivem por um único dia são construídos especificamente para escapar de listas de bloqueio baseadas em reputação de domínio.
Trate arquivos protegidos por senha em e-mails não solicitados como um sinal, não como uma formalidade. A senha existe para vencer suas ferramentas de escaneamento, não para proteger o destinatário, e um remetente legítimo raramente tem motivo para trancar um documento atrás de um código entregue em uma página web separada.
Fique atento a software RMM que sua equipe não implantou. Um instalador assinado digitalmente para ScreenConnect, Atera ou qualquer outra ferramenta de acesso remoto não é inerentemente seguro apenas por estar assinado. Faça um inventário de quais plataformas RMM sua organização realmente autoriza, e gere alertas para qualquer outra.
Lembre-se de que o limite do DMARC permanece fixo mesmo quando a infraestrutura do atacante muda. Uma política rígida de DMARC nos seus próprios domínios de envio continua valendo a pena aplicar, mas ela nunca ia ver uma campanha que jamais precisou falsificar seu domínio para ter sucesso.
A Conclusão
Um único formulário fiscal falso, direcionado a um país, revelou ser a borda visível de uma infraestrutura funcionando em 46 deles, renovada diariamente, e que termina não em malware, mas em software de TI comum com credenciais reais por trás. Essa é a forma de uma intrusão moderna construída para contornar exatamente as defesas que a maioria das organizações já tem em vigor. O DMARC protege a identidade no envelope. Ele não tem nada a dizer sobre uma página web descartável, um arquivo trancado por senha ou uma ferramenta legítima de acesso remoto fazendo um trabalho ilegítimo.
O DMARC confirma se uma mensagem que afirma vir do seu domínio realmente tinha autoridade para enviá-la. Ele não pode dizer quando um e-mail de phishing aponta para uma página descartável no Vercel, quando um arquivo protegido por senha está escondendo seu conteúdo dos seus scanners, ou quando uma ferramenta RMM legítima foi instalada por alguém que nunca deveria ter acesso. A Excello Mail transforma seus relatórios agregados de DMARC em um registro claro e contínuo de cada domínio e serviço que envia em seu nome, para que sua própria autenticação permaneça sólida enquanto sua equipe fica de olho nas ameaças que operam completamente fora do que o DMARC foi criado para ver. Cadastre-se gratuitamente na Excello Mail e construa essa base.