Principais destaques
- Grupo UNC6692 usa manipulação psicológica e ferramentas legítimas para invadir empresas
- Ataques combinam e-mails em massa, mensagens no Microsoft Teams e páginas falsas hospedadas na nuvem
- Malware avançado permite controle completo da rede, incluindo acesso a dados sensíveis
Um novo relatório divulgado pelo Google acendeu um alerta global sobre uma campanha de ciberataques altamente estratégica. Diferente de invasões tradicionais, que exploram falhas em sistemas, este novo método aposta em algo muito mais difícil de corrigir: o comportamento humano.
A investigação conduzida pelo Google Threat Intelligence Group em parceria com a Mandiant revela que o grupo identificado como UNC6692 vem operando desde o fim de 2025 com uma abordagem silenciosa, convincente e extremamente eficaz.
A tática central é simples, mas perigosa. Os criminosos se passam por equipes internas de tecnologia da informação e entram em contato direto com funcionários, explorando a confiança natural que existe dentro das empresas. Em vez de forçar sistemas, eles convencem pessoas.
Engenharia social como principal arma
O ataque começa com uma técnica conhecida como “bombardeio de spam”. A vítima passa a receber uma grande quantidade de e-mails em um curto espaço de tempo, criando confusão e senso de urgência. Logo depois, surge uma mensagem no Microsoft Teams, aparentemente enviada por um membro do suporte técnico.
A abordagem é cuidadosamente construída. O suposto profissional oferece ajuda para resolver o problema dos e-mails e apresenta uma solução rápida. Esse tipo de interação reduz a desconfiança e aumenta as chances de a vítima seguir as instruções sem questionar.
O próximo passo é o envio de um link que promete corrigir o problema. Esse link direciona para uma página falsa hospedada na infraestrutura da Amazon Web Services. O uso de um serviço confiável é estratégico, pois dificulta a identificação do golpe por sistemas de segurança e também transmite credibilidade ao usuário.
Malware invisível e altamente adaptado
Ao acessar o link, a vítima inicia o download de arquivos aparentemente legítimos. Entre eles estão um binário e um script disfarçado que ativam uma cadeia de infecção complexa. Um dos principais componentes é o SNOWBELT, um tipo de malware que opera como extensão do navegador Microsoft Edge em modo invisível.
Esse recurso permite que os invasores monitorem atividades, capturem dados e mantenham persistência dentro do sistema sem levantar suspeitas. Além disso, outras ferramentas entram em ação, como o SNOWGLAZE, responsável por criar túneis de comunicação dentro da rede, e o SNOWBASIN, que executa comandos remotamente.
Outro elemento crítico do ataque é a falsa ferramenta de “reparo de caixa de correio”, que solicita credenciais sob o pretexto de autenticação. Na prática, essas informações são capturadas e enviadas diretamente para servidores controlados pelos criminosos.
Movimento lateral e domínio completo da rede
Depois da invasão inicial, o grupo UNC6692 demonstra alto nível técnico e rapidez. Os atacantes passam a explorar a rede interna da empresa, identificando sistemas estratégicos e ampliando o acesso.
Uma das técnicas mais sensíveis envolve a extração de dados da memória do sistema Windows, especialmente do processo LSASS, onde ficam armazenadas credenciais e hashes de senha. Com essas informações, os criminosos utilizam o método conhecido como “pass-the-hash” para se autenticar em outros sistemas sem precisar das senhas originais.
Esse movimento permite alcançar servidores críticos e, eventualmente, assumir o controle total do domínio corporativo. Nesse estágio, os invasores podem acessar arquivos confidenciais, interromper operações e até preparar ataques mais amplos, como ransomware.
Os dados analisados indicam que o foco principal são funcionários de alto escalão. Executivos e gestores representam a maioria das vítimas, o que aumenta significativamente o impacto potencial de cada invasão.
A resposta da Microsoft e o alerta para empresas
A Microsoft também se pronunciou sobre o caso, destacando que não há falhas técnicas sendo exploradas no Microsoft Teams. Segundo a empresa, os ataques dependem exclusivamente da interação do usuário e da capacidade dos criminosos de enganar suas vítimas.
Um dos pontos críticos é o uso de comunicação externa entre organizações dentro do Teams. Esse recurso, embora legítimo, está sendo explorado para dar aparência de autenticidade às mensagens fraudulentas.
Especialistas reforçam que o uso de plataformas confiáveis, como serviços em nuvem, torna a detecção ainda mais difícil. O tráfego malicioso se mistura ao fluxo normal de dados, reduzindo a eficácia de filtros tradicionais de segurança.
Diante desse cenário, a recomendação é clara. Empresas precisam investir não apenas em tecnologia, mas também em educação digital. Treinamentos frequentes, verificação de identidade em solicitações de suporte e restrições em comunicações externas são medidas essenciais para reduzir riscos.
Mais do que nunca, a segurança deixou de ser apenas uma questão técnica e passou a depender diretamente da atenção e preparo das pessoas.
