Vishing no Teams derruba redes em menos de 17 horas
O grupo STAC4749 operou entre fevereiro e junho de 2026 uma campanha sistemática de vishing via Microsoft Teams, fingindo ser suporte de TI para induzir funcionários a abrir sessões remotas — sem explorar nenhuma vulnerabilidade de software. Em pelo menos três organizações norte-americanas o resultado foi a implantação do ransomware Chaos, com tempo de comprometimento a criptografia inferior a 17 horas em um dos casos.
Juízos analíticos
Cada avaliação vem com seu nível de confiança declarado, conforme a prática de inteligência (ICD 203 / FIRST). Confiança alta não é certeza; confiança baixa não é chute — é o peso que a evidência disponível sustenta.
A campanha é financeiramente motivada e não envolve exploração de CVE: o vetor inteiro é engenharia social sobre uma feature legítima do Teams (federação externa aberta por padrão). A ausência de vulnerabilidade técnica torna controles de patch ineficazes como resposta primária.
O Chaos RaaS é avaliado com confiança moderada por Cisco Talos, Sophos e outros como operado por ex-membros do BlackSuit (Royal/Conti). A linhagem é suportada por similaridade de metodologia de criptografia, estrutura de ransom notes e ferramental — mas a sobreposição de membros específicos não foi confirmada por fonte primária.
A divergência de atribuição entre Sophos (motivação financeira, indício de conexão russófona) e Rapid7 (falsa-flag do MuddyWater iraniano) é real e não resolvida. O artefato técnico central da hipótese Rapid7 — o certificado de assinatura 'Donald Gay' — não aparece nos achados do STAC4749 relatados pela Sophos, sugerindo que os dois pesquisadores podem estar analisando incidentes distintos que usam o mesmo ransomware-as-a-service.
A evolução tática observada — troca de Quick Assist para RemSupp a partir de abril de 2026 — indica operadores com monitoramento ativo de blocklists corporativas e capacidade de adaptação rápida, o que aumenta a probabilidade de continuidade da campanha com novos vetores de acesso remoto.
O Microsoft Teams introduziu novos controles PowerShell para federação externa apenas em julho de 2026 (GA previsto para setembro), o que significa que durante toda a campanha (fevereiro–junho) as organizações não tinham controle granular nativo para bloquear comunicações de domínios externos não gerenciados sem desabilitar completamente a federação.
Nenhuma vítima individual foi confirmada por nome em comunicado próprio ou filing regulatório até a data deste relatório. O perímetro exato de dano (quantas organizações tiveram dados exfiltrados vs. somente criptografados) permanece incerto.
Análise
Este incidente não envolve um único alvo ou um vazamento de banco de dados — é uma campanha multi-vítima documentada pela Sophos sob o identificador STAC4749, ativa entre fevereiro e junho de 2026, com pelo menos dezenas de organizações norte-americanas afetadas. O modelo operacional dispensa qualquer CVE: os atacantes criam contas no Microsoft Teams com domínios .top temáticos de TI e entram em contato com funcionários fingindo ser suporte interno. A ligação de conferência dura em média dois a dois minutos e meio — tempo suficiente para convencer o alvo a abrir uma sessão do Quick Assist ou instalar o RemSupp. A partir daí, PowerShell baixa o toolset do servidor do ator, e a cadeia segue para persistência, movimento lateral via RDP e, nos casos mais graves, implantação do Chaos ransomware.
O veredito de 'incidente real' está sustentado pela fonte primária (relatório técnico da Sophos, B/2 — empresa com histórico sólido de apuração, informação provavelmente verdadeira e corroborada por Cisco Talos, AttackIQ e Rapid7 independentemente). Nenhuma vítima individual confirmou publicamente o incidente em comunicado próprio ou filing regulatório até a data deste relatório — o que mantém a dimensão exata do dano como lacuna.
O ponto mais relevante para análise é o nó de atribuição: Sophos afirma que STAC4749 é financeiramente motivado e aponta artefatos de teclado em russo como único indício de origem. A Rapid7, em relatório separado de maio de 2026, identificou com confiança moderada que ao menos um incidente Chaos foi uma falsa-flag do grupo iraniano MuddyWater (COBALT ULSTER/Seedworm), lastreado no certificado de assinatura 'Donald Gay' ligado ao MOIS. A Sophos respondeu diretamente: não encontrou evidência vinculando STAC4749 ao MuddyWater. A contradição pode não ser irreconciliável — o Chaos opera como RaaS com afiliados, o que abre espaço para que diferentes atores (criminosos russófonos E um APT iraniano) usem o mesmo payload em campanhas distintas. Os dois relatórios podem estar corretos sobre incidentes diferentes. Nenhuma fonte primária (governo, regulador, DOJ) confirmou ou refutou qualquer das duas atribuições.
A genealogia do Chaos RaaS é razoavelmente bem documentada: surgiu em fevereiro de 2025 logo após a Operação Checkmate (julho de 2025, derrubada do BlackSuit), com similaridades técnicas em metodologia de criptografia, estrutura de ransom notes e toolset que levaram Cisco Talos, Sophos e AttackIQ a avaliar com confiança moderada que o grupo reúne ex-membros do BlackSuit — ele mesmo um rebrand do Royal, descendente do Conti. A Rapid7 registra o mesmo histórico. É importante distinguir: 'Chaos' aqui é o RaaS de 2025 — distinto do Chaos malware builder de 2021, que tem o mesmo nome mas é tecnicamente não relacionado.
Um detalhe que a cobertura majoritária não destacou: durante toda a campanha (fevereiro a junho de 2026), a Microsoft não oferecia controles nativos granulares para bloquear comunicações de domínios externos não gerenciados no Teams sem desativar completamente a federação. Os novos controles PowerShell só entraram em disponibilidade geral a partir de 31 de julho de 2026 — ou seja, foram publicados no mesmo dia em que o relatório Sophos saiu. A janela estrutural que permitiu a campanha ainda não está fechada na maioria dos tenants.
Cronologia
- 01 fev 2025Chaos RaaS começa operações — primeiros samples Windows identificados por Cisco Talos; grupo recruta afiliados no fórum RAMP.
- 24 jul 2025Operação Checkmate: DOJ/FBI e parceiros internacionais derrubam infraestrutura do BlackSuit; leak site exibia ~200 vítimas. Cisco Talos publica análise ligando Chaos aos ex-membros do BlackSuit no mesmo dia.
- 11 ago 2025DOJ anuncia formalmente ações coordenadas de disrupção contra o BlackSuit/Royal.
- 01 jan 2026Sophos MDR registra alta significativa em casos de abuso malicioso do Microsoft 365/Teams — sinal operacional precursor da campanha STAC4749.
- 01 fev 2026STAC4749 inicia campanha ativa: contas Teams criadas com domínios .top temáticos de TI (sequrityupdate[.]top, scan-security[.]top etc.) para se passar por suporte interno.
- 01 mar 2026Sophos MDR registra novo pico em casos relacionados a M365 scams.
- 01 abr 2026STAC4749 muda preferência de Quick Assist para RemSupp — sinal de adaptação a blocklists corporativas.
- 01 mai 2026Rapid7 publica relatório atribuindo com confiança moderada um incidente Chaos ao grupo iraniano MuddyWater (Operação Olalampo), usando como evidência o certificado 'Donald Gay'. Sophos registra terceiro pico mensal em MDR.
- 01 mai 2026Pelo menos três comprometimentos STAC4749 culminam em implantação do Chaos ransomware; em um caso o intervalo entre acesso inicial e criptografia foi inferior a 17 horas.
- 16 jul 2026AttackIQ publica análise técnica de detecção do Chaos RaaS com emulação de adversário.
- 23 jul 2026Help Net Security publica análise da Cisco Talos sobre msaRAT — componente do Chaos que esconde canal C2 dentro de processo legítimo de browser.
- 30 jul 2026Sophos publica relatório completo da campanha STAC4749 ('Chaos in Teams vishing'). BleepingComputer e demais veículos repercutem.
- 31 jul 2026Microsoft disponibiliza controles PowerShell de restrição de acesso externo para federação no Teams (GA parcial; conclusão prevista para setembro de 2026).
Impacto
Pelo menos três organizações tiveram sistemas criptografados pelo Chaos ransomware; em pelo menos um caso houve exfiltração de dados antes da criptografia. O ator alcançou criptografia em menos de 17 horas a partir do acesso inicial em pelo menos um incidente, comprimindo drasticamente a janela de resposta a incidentes. As vítimas confirmadas estão nos setores de serviços, manufatura, energia, construção, engenharia e escritórios de advocacia de propriedade intelectual nos EUA e Canadá. Não há números de registros exfiltrados confirmados por nenhuma fonte. Nenhuma vítima fez comunicado público ou notificação regulatória identificável até a data deste relatório.
Elos técnicos
Recomendações
- No Teams Admin Center, alterar a política de acesso externo de 'permitir todos os domínios' para 'apenas domínios permitidos' (allowlist explícita). Isso elimina o vetor de contato inicial de domínios .top não autorizados.
- Habilitar os novos controles PowerShell de federação externa (EnableExternalAccessRestrictionsForChatParticipants via Set-CsTenantFederationConfiguration) disponíveis desde 31/07/2026, impedindo que usuários sem política de acesso externo aprovada participem de chats federados.
- Colocar Quick Assist (msra.exe / quickassist.exe) e RemSupp em lista de controle de aplicações com aprovação explícita do helpdesk — ou bloquear execução fora de contexto de ticket aberto. AnyDesk e DWAgent seguem a mesma lógica.
- Criar regra de detecção para a sequência: chamada/chat Teams de domínio externo → abertura de ferramenta de acesso remoto em intervalo inferior a 10 minutos. Esse padrão comportamental é o sinal mais fidedigno da campanha STAC4749.
- Monitorar persistência em chaves de registro com nomes temáticos de áudio Realtek (ex: 'Realtek HD Audio', 'WinAudio life2') e em %AppData%\Roaming para loaders PowerShell — artefatos de persistência documentados do STAC4749.
- Revisar e atualizar o procedimento de verificação de identidade do helpdesk: qualquer solicitação de acesso remoto iniciada pelo 'suporte' (e não pelo usuário via ticket) deve ser recusada e escalada. O treinamento deve incluir o cenário exato de chamada Teams de contato externo.
- Calibrar o plano de resposta a incidentes para dwell time de menos de 17 horas: o processo de isolamento de host deve poder ser iniciado sem aprovação em múltiplos níveis quando o padrão de acesso remoto não autorizado for detectado fora de janela de mudança.
Lacunas de inteligência
O que ainda não sabemos. Um relatório que não declara seus buracos está vendendo, não analisando.
Identidade das organizações vítimas: nenhuma empresa confirmou o incidente publicamente. Notificação a reguladores (FTC, PIPEDA no Canadá, setoriais como HHS) resolveria esta lacuna.
Volume e natureza dos dados exfiltrados: Sophos confirma exfiltração em 'pelo menos um' caso, mas não quantifica registros nem tipologia. Relatório de IR independente ou notificação de breach resolveria.
Atribuição definitiva — criminosos russófonos vs. falsa-flag MuddyWater: Sophos e Rapid7 chegaram a conclusões opostas. Análise forense cruzada dos certificados, infraestrutura C2 e artefatos de teclado por terceiro independente (ex: CISA, equipe governamental) resolveria com mais peso.
Escala real da campanha: 'dezenas de organizações' é a única granularidade disponível. Sophos não publicou contagem exata de vítimas.
Status atual da campanha: o relatório cobre até junho de
2026. Não há confirmação de encerramento ou continuidade após essa data.
Adoção dos novos controles de federação do Teams: os controles PowerShell estão desabilitados por padrão (GA a partir de 31/07/2026). Sem dado sobre quantas organizações os ativaram.
Fontes e avaliação
Notação Admiralty (padrão NATO, usado por CERT-EU e OpenCTI): a letra avalia a confiabilidade da FONTE (A completamente confiável a F não avaliada); o número avalia a credibilidade da INFORMAÇÃO (1 confirmada a 6 não julgável). As duas dimensões são avaliadas de forma independente — fonte boa não torna informação frágil confiável.