Vishing no Teams derruba redes em menos de 17 horas
O grupo STAC4749 operou entre fevereiro e junho de 2026 uma campanha sistemática de vishing via Microsoft Teams, fingindo ser suporte de TI para induzir funcionários a abrir sessões remotas — sem explorar nenhuma vulnerabilidade de software. Em pelo menos três organizações norte-americanas o resultado foi a implantação do ransomware Chaos, com tempo de comprometimento a criptografia inferior a 17 horas em um dos casos.
Juicios analíticos
Cada evaluación viene con su nivel de confianza declarado, según la práctica de inteligencia (ICD 203 / FIRST). Confianza alta no es certeza; confianza baja no es una suposición — es el peso que sostiene la evidencia disponible.
A campanha é financeiramente motivada e não envolve exploração de CVE: o vetor inteiro é engenharia social sobre uma feature legítima do Teams (federação externa aberta por padrão). A ausência de vulnerabilidade técnica torna controles de patch ineficazes como resposta primária.
O Chaos RaaS é avaliado com confiança moderada por Cisco Talos, Sophos e outros como operado por ex-membros do BlackSuit (Royal/Conti). A linhagem é suportada por similaridade de metodologia de criptografia, estrutura de ransom notes e ferramental — mas a sobreposição de membros específicos não foi confirmada por fonte primária.
A divergência de atribuição entre Sophos (motivação financeira, indício de conexão russófona) e Rapid7 (falsa-flag do MuddyWater iraniano) é real e não resolvida. O artefato técnico central da hipótese Rapid7 — o certificado de assinatura 'Donald Gay' — não aparece nos achados do STAC4749 relatados pela Sophos, sugerindo que os dois pesquisadores podem estar analisando incidentes distintos que usam o mesmo ransomware-as-a-service.
A evolução tática observada — troca de Quick Assist para RemSupp a partir de abril de 2026 — indica operadores com monitoramento ativo de blocklists corporativas e capacidade de adaptação rápida, o que aumenta a probabilidade de continuidade da campanha com novos vetores de acesso remoto.
O Microsoft Teams introduziu novos controles PowerShell para federação externa apenas em julho de 2026 (GA previsto para setembro), o que significa que durante toda a campanha (fevereiro–junho) as organizações não tinham controle granular nativo para bloquear comunicações de domínios externos não gerenciados sem desabilitar completamente a federação.
Nenhuma vítima individual foi confirmada por nome em comunicado próprio ou filing regulatório até a data deste relatório. O perímetro exato de dano (quantas organizações tiveram dados exfiltrados vs. somente criptografados) permanece incerto.
Análisis
Este incidente não envolve um único alvo ou um vazamento de banco de dados — é uma campanha multi-vítima documentada pela Sophos sob o identificador STAC4749, ativa entre fevereiro e junho de 2026, com pelo menos dezenas de organizações norte-americanas afetadas. O modelo operacional dispensa qualquer CVE: os atacantes criam contas no Microsoft Teams com domínios .top temáticos de TI e entram em contato com funcionários fingindo ser suporte interno. A ligação de conferência dura em média dois a dois minutos e meio — tempo suficiente para convencer o alvo a abrir uma sessão do Quick Assist ou instalar o RemSupp. A partir daí, PowerShell baixa o toolset do servidor do ator, e a cadeia segue para persistência, movimento lateral via RDP e, nos casos mais graves, implantação do Chaos ransomware.
O veredito de 'incidente real' está sustentado pela fonte primária (relatório técnico da Sophos, B/2 — empresa com histórico sólido de apuração, informação provavelmente verdadeira e corroborada por Cisco Talos, AttackIQ e Rapid7 independentemente). Nenhuma vítima individual confirmou publicamente o incidente em comunicado próprio ou filing regulatório até a data deste relatório — o que mantém a dimensão exata do dano como lacuna.
O ponto mais relevante para análise é o nó de atribuição: Sophos afirma que STAC4749 é financeiramente motivado e aponta artefatos de teclado em russo como único indício de origem. A Rapid7, em relatório separado de maio de 2026, identificou com confiança moderada que ao menos um incidente Chaos foi uma falsa-flag do grupo iraniano MuddyWater (COBALT ULSTER/Seedworm), lastreado no certificado de assinatura 'Donald Gay' ligado ao MOIS. A Sophos respondeu diretamente: não encontrou evidência vinculando STAC4749 ao MuddyWater. A contradição pode não ser irreconciliável — o Chaos opera como RaaS com afiliados, o que abre espaço para que diferentes atores (criminosos russófonos E um APT iraniano) usem o mesmo payload em campanhas distintas. Os dois relatórios podem estar corretos sobre incidentes diferentes. Nenhuma fonte primária (governo, regulador, DOJ) confirmou ou refutou qualquer das duas atribuições.
A genealogia do Chaos RaaS é razoavelmente bem documentada: surgiu em fevereiro de 2025 logo após a Operação Checkmate (julho de 2025, derrubada do BlackSuit), com similaridades técnicas em metodologia de criptografia, estrutura de ransom notes e toolset que levaram Cisco Talos, Sophos e AttackIQ a avaliar com confiança moderada que o grupo reúne ex-membros do BlackSuit — ele mesmo um rebrand do Royal, descendente do Conti. A Rapid7 registra o mesmo histórico. É importante distinguir: 'Chaos' aqui é o RaaS de 2025 — distinto do Chaos malware builder de 2021, que tem o mesmo nome mas é tecnicamente não relacionado.
Um detalhe que a cobertura majoritária não destacou: durante toda a campanha (fevereiro a junho de 2026), a Microsoft não oferecia controles nativos granulares para bloquear comunicações de domínios externos não gerenciados no Teams sem desativar completamente a federação. Os novos controles PowerShell só entraram em disponibilidade geral a partir de 31 de julho de 2026 — ou seja, foram publicados no mesmo dia em que o relatório Sophos saiu. A janela estrutural que permitiu a campanha ainda não está fechada na maioria dos tenants.
Cronología
- 01 feb 2025Chaos RaaS começa operações — primeiros samples Windows identificados por Cisco Talos; grupo recruta afiliados no fórum RAMP.
- 24 jul 2025Operação Checkmate: DOJ/FBI e parceiros internacionais derrubam infraestrutura do BlackSuit; leak site exibia ~200 vítimas. Cisco Talos publica análise ligando Chaos aos ex-membros do BlackSuit no mesmo dia.
- 11 ago 2025DOJ anuncia formalmente ações coordenadas de disrupção contra o BlackSuit/Royal.
- 01 ene 2026Sophos MDR registra alta significativa em casos de abuso malicioso do Microsoft 365/Teams — sinal operacional precursor da campanha STAC4749.
- 01 feb 2026STAC4749 inicia campanha ativa: contas Teams criadas com domínios .top temáticos de TI (sequrityupdate[.]top, scan-security[.]top etc.) para se passar por suporte interno.
- 01 mar 2026Sophos MDR registra novo pico em casos relacionados a M365 scams.
- 01 abr 2026STAC4749 muda preferência de Quick Assist para RemSupp — sinal de adaptação a blocklists corporativas.
- 01 may 2026Rapid7 publica relatório atribuindo com confiança moderada um incidente Chaos ao grupo iraniano MuddyWater (Operação Olalampo), usando como evidência o certificado 'Donald Gay'. Sophos registra terceiro pico mensal em MDR.
- 01 may 2026Pelo menos três comprometimentos STAC4749 culminam em implantação do Chaos ransomware; em um caso o intervalo entre acesso inicial e criptografia foi inferior a 17 horas.
- 16 jul 2026AttackIQ publica análise técnica de detecção do Chaos RaaS com emulação de adversário.
- 23 jul 2026Help Net Security publica análise da Cisco Talos sobre msaRAT — componente do Chaos que esconde canal C2 dentro de processo legítimo de browser.
- 30 jul 2026Sophos publica relatório completo da campanha STAC4749 ('Chaos in Teams vishing'). BleepingComputer e demais veículos repercutem.
- 31 jul 2026Microsoft disponibiliza controles PowerShell de restrição de acesso externo para federação no Teams (GA parcial; conclusão prevista para setembro de 2026).
Impacto
Pelo menos três organizações tiveram sistemas criptografados pelo Chaos ransomware; em pelo menos um caso houve exfiltração de dados antes da criptografia. O ator alcançou criptografia em menos de 17 horas a partir do acesso inicial em pelo menos um incidente, comprimindo drasticamente a janela de resposta a incidentes. As vítimas confirmadas estão nos setores de serviços, manufatura, energia, construção, engenharia e escritórios de advocacia de propriedade intelectual nos EUA e Canadá. Não há números de registros exfiltrados confirmados por nenhuma fonte. Nenhuma vítima fez comunicado público ou notificação regulatória identificável até a data deste relatório.
Enlaces técnicos
Recomendaciones
- No Teams Admin Center, alterar a política de acesso externo de 'permitir todos os domínios' para 'apenas domínios permitidos' (allowlist explícita). Isso elimina o vetor de contato inicial de domínios .top não autorizados.
- Habilitar os novos controles PowerShell de federação externa (EnableExternalAccessRestrictionsForChatParticipants via Set-CsTenantFederationConfiguration) disponíveis desde 31/07/2026, impedindo que usuários sem política de acesso externo aprovada participem de chats federados.
- Colocar Quick Assist (msra.exe / quickassist.exe) e RemSupp em lista de controle de aplicações com aprovação explícita do helpdesk — ou bloquear execução fora de contexto de ticket aberto. AnyDesk e DWAgent seguem a mesma lógica.
- Criar regra de detecção para a sequência: chamada/chat Teams de domínio externo → abertura de ferramenta de acesso remoto em intervalo inferior a 10 minutos. Esse padrão comportamental é o sinal mais fidedigno da campanha STAC4749.
- Monitorar persistência em chaves de registro com nomes temáticos de áudio Realtek (ex: 'Realtek HD Audio', 'WinAudio life2') e em %AppData%\Roaming para loaders PowerShell — artefatos de persistência documentados do STAC4749.
- Revisar e atualizar o procedimento de verificação de identidade do helpdesk: qualquer solicitação de acesso remoto iniciada pelo 'suporte' (e não pelo usuário via ticket) deve ser recusada e escalada. O treinamento deve incluir o cenário exato de chamada Teams de contato externo.
- Calibrar o plano de resposta a incidentes para dwell time de menos de 17 horas: o processo de isolamento de host deve poder ser iniciado sem aprovação em múltiplos níveis quando o padrão de acesso remoto não autorizado for detectado fora de janela de mudança.
Lagunas de inteligencia
Lo que aún no sabemos. Un informe que no declara sus huecos está vendiendo, no analizando.
Identidade das organizações vítimas: nenhuma empresa confirmou o incidente publicamente. Notificação a reguladores (FTC, PIPEDA no Canadá, setoriais como HHS) resolveria esta lacuna.
Volume e natureza dos dados exfiltrados: Sophos confirma exfiltração em 'pelo menos um' caso, mas não quantifica registros nem tipologia. Relatório de IR independente ou notificação de breach resolveria.
Atribuição definitiva — criminosos russófonos vs. falsa-flag MuddyWater: Sophos e Rapid7 chegaram a conclusões opostas. Análise forense cruzada dos certificados, infraestrutura C2 e artefatos de teclado por terceiro independente (ex: CISA, equipe governamental) resolveria com mais peso.
Escala real da campanha: 'dezenas de organizações' é a única granularidade disponível. Sophos não publicou contagem exata de vítimas.
Status atual da campanha: o relatório cobre até junho de
2026. Não há confirmação de encerramento ou continuidade após essa data.
Adoção dos novos controles de federação do Teams: os controles PowerShell estão desabilitados por padrão (GA a partir de 31/07/2026). Sem dado sobre quantas organizações os ativaram.
Fuentes y evaluación
Notación Admiralty (estándar NATO, usado por CERT-EU y OpenCTI): la letra evalúa la confiabilidad de la FUENTE (A completamente confiable a F no evaluada); el número evalúa la credibilidad de la INFORMACIÓN (1 confirmada a 6 no juzgable). Ambas dimensiones se evalúan de forma independiente.