Uma campanha de vishing (phishing por voz) que abusa do Microsoft Teams está a servir de porta de entrada para ataques do ransomware Chaos contra organizações norte-americanas. Investigadores da Sophos descrevem o conjunto de intrusões como STAC4749, no qual os atacantes se fazem passar por técnicos de suporte informático em conversas e chamadas de voz no Teams para obter acesso remoto aos dispositivos das vítimas. Entre fevereiro e junho de 2026, a Sophos observou os operadores a atacar dezenas de organizações na América do Norte, com pelo menos três intrusões a culminar na cifragem de ficheiros pelo ransomware Chaos — num dos casos, em menos de 17 horas.
Resposta rápida: Atacantes fazem-se passar por suporte de TI no Microsoft Teams para persuadir colaboradores a conceder acesso remoto, através do Quick Assist ou do RMM RemSupp, e acabam por lançar o ransomware Chaos. Num incidente, decorreram menos de 17 horas entre o contacto inicial e a cifragem. Restrinja a federação externa do Teams, defina procedimentos claros de verificação do helpdesk e controle rigorosamente as ferramentas de acesso remoto.
Como começa o ataque: uma chamada de “suporte” no Teams
O ponto de partida é enganosamente simples. Os ataques iniciam-se com contas externas do Microsoft Teams a personificar pessoal de helpdesk ou suporte, contactando colaboradores através de mensagens e chamadas de voz. Em vez de recorrerem a tenants onmicrosoft.com falsificados, os operadores registaram grupos de domínios com aparência de TI sob o TLD .top, associados a personas plausíveis de suporte técnico.
O objetivo é levar a vítima a iniciar uma sessão de controlo remoto. A Sophos indica que os operadores começaram por preferir o Microsoft Quick Assist e recorriam à ferramenta RMM baseada na cloud RemSupp como alternativa quando o Quick Assist estava bloqueado ou indisponível. A partir de abril, passaram a usar sobretudo o RemSupp, possivelmente por ser menos provável estar incluído nas listas de bloqueio de aplicações das empresas.
O que torna esta técnica perigosa é a ausência de qualquer exploração de vulnerabilidade. O Quick Assist é uma funcionalidade padrão do Windows para assistência remota que exige que o destinatário introduza um código de sessão e aprove a partilha e o controlo do ecrã. Uma vez concedido esse acesso, o atacante fica com o mesmo nível de acesso de um técnico legítimo, sem necessidade de qualquer exploit.
Do acesso remoto ao ransomware: a cadeia técnica
Após obterem a sessão remota, os operadores passam à fase de instalação de malware. Utilizaram PowerShell para descarregar um backdoor para a pasta %AppData% do utilizador comprometido, e esse malware caracterizava o sistema, estabelecia persistência e mantinha o acesso remoto para os atacantes. O backdoor baseado em Python ligava-se a um servidor de comando e controlo (C2) e recuperava implantes em Golang, executados através de um comando PowerShell Invoke-WebRequest.
Para dissimular a persistência, as entradas de registo maliciosas foram disfarçadas como componentes de áudio Realtek e Windows, usando nomes como Realtek HD Audio, Realtek Audio UHD e WinAudio life2. Segundo a Sophos, o conjunto de ferramentas é modular, com um loader e um backdoor personalizados para manter acesso persistente e controlado. Em ambientes destinados a ransomware, os atacantes acrescentam frequentemente ferramentas de acesso remoto adicionais, como DWAgent e AnyDesk, refletindo TTPs anteriormente associadas às campanhas de ransomware Chaos e 3AM.
A fase final é a extorsão. Concluída a movimentação lateral e a possível exfiltração, os operadores desencadeavam a cifragem quase simultânea nos vários endpoints, acrescentando a extensão .chaos e deixando notas de resgate readme.chaos.txt. As notas vistas pela BleepingComputer alegavam roubo de dados e avisavam que estes seriam divulgados caso o resgate não fosse pago — a marca da chamada dupla extorsão.
Cronologia e alvos
| Elemento | Detalhe |
|---|---|
| Conjunto de intrusões | STAC4749 (Sophos) |
| Período de atividade observado | Fevereiro a junho de 2026 |
| Vetor inicial | Vishing via Microsoft Teams (personificação de helpdesk) |
| Ferramentas de acesso remoto | Quick Assist; RemSupp (predominante desde abril); DWAgent; AnyDesk |
| Tempo mínimo até cifragem | Menos de 17 horas num incidente |
| Nota de resgate | readme.chaos.txt; extensão .chaos |
Quanto à geografia, cerca de 95% dos ataques visaram organizações no Canadá (50%) e nos Estados Unidos (45%). Os setores mais afetados foram os serviços, a indústria transformadora, a energia e a construção e engenharia. A atribuição permanece cautelosa: a Sophos avalia com elevada confiança que o STAC4749 era uma operação com motivação financeira, e observou artefactos limitados que sugerem uma ligação a operadores de língua russa, sem encontrar provas que liguem a atividade ao grupo iraniano MuddyWater.
O que é o Chaos e de onde vem
O ransomware Chaos não é uma ameaça improvisada. A Cisco Talos avalia com moderada confiança que o novo grupo Chaos é provavelmente formado por antigos membros do grupo BlackSuit (Royal), com base em semelhanças na metodologia de cifragem, na estrutura das notas de resgate e no conjunto de ferramentas usado. O Chaos surgiu por volta de fevereiro de 2025 e promove-se no fórum de cibercrime russo Ransom Anonymous Market Place (RAMP).
É importante evitar confusão de nomes: a Cisco Talos assinala que este grupo não tem relação com o construtor de ransomware Chaos, possivelmente adotando o mesmo nome para gerar confusão nos investigadores. A cifragem do Chaos é compatível com sistemas Windows, ESXi, Linux e NAS, com funcionalidades como chaves de cifragem individuais por ficheiro, velocidade de cifragem elevada e varredura de recursos de rede. Já em julho de 2025, a Talos notara que o Chaos recorria frequentemente ao vishing e à personificação de pessoal de TI, primeiro inundando a vítima com emails a pedir uma chamada telefónica e depois convencendo-a a conceder acesso via software de assistência remota.
Mitigação: passos concretos
- Restringir a federação externa do Microsoft Teams, limitando quem pode enviar mensagens e chamadas a partir de organizações fora da vossa.
- Definir procedimentos de verificação do helpdesk: o suporte de TI legítimo nunca contacta espontaneamente a pedir controlo remoto; qualquer pedido deve ser confirmado por canais internos oficiais.
- Controlar e monitorizar estritamente ferramentas de acesso remoto como
Quick Assist,RemSupp,AnyDeskeDWAgent, incluindo listas de bloqueio de aplicações. - Usar deteção de endpoint (EDR) para identificar atividade PowerShell suspeita, software de controlo remoto não autorizado e outros indicadores de comprometimento.
- Auditar regularmente programas de arranque e entradas de registo para descobrir mecanismos de persistência disfarçados (por exemplo, falsos componentes Realtek).
- Manter backups offline e testar a sua recuperação, para reduzir o impacto de uma cifragem.
Porque importa em Portugal
Embora esta campanha específica se concentre na América do Norte, o modelo é diretamente transponível para o tecido empresarial português, sobretudo porque o Microsoft Teams é uma ferramenta de trabalho ubíqua em PME e grandes organizações. O vishing não é um fenómeno distante: em 2024, o vishing foi o subtipo de engenharia social mais frequente registado pelo CERT.PT, com 18,31% do total, seguido da CEO Fraud, com 17,89%. O CNCS recomenda, aliás, que as organizações realizem simulações de ataques e que os colaboradores nunca forneçam dados nem sigam instruções sem confirmar a identidade de quem contacta.
Este tipo de incidente cruza-se com dois quadros regulatórios essenciais. Por um lado, o novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) impõe às entidades abrangidas obrigações reforçadas de gestão de risco, formação e notificação de incidentes ao CNCS — e a formação de colaboradores é precisamente a primeira linha de defesa contra o vishing. Por outro, quando há exfiltração de dados pessoais antes da cifragem, aplica-se o RGPD, com a obrigação de notificar a CNPD, em regra no prazo de 72 horas, e potencialmente os próprios titulares dos dados. A velocidade demonstrada por esta campanha — menos de 17 horas do primeiro contacto à cifragem — reforça que a resposta a incidentes tem de ser planeada e ensaiada antes de o ataque acontecer.
Perguntas frequentes
O que é o STAC4749?
É a designação atribuída pela Sophos a um conjunto de intrusões que usa vishing pelo Microsoft Teams, com personificação de suporte de TI, para obter acesso remoto e, em vários casos, lançar o ransomware Chaos contra organizações norte-americanas entre fevereiro e junho de 2026.
Como conseguem os atacantes acesso ao computador?
Convencem o colaborador, por chamada ou mensagem no Teams, a iniciar uma sessão de assistência remota através de ferramentas legítimas como o Quick Assist ou o RemSupp. Não há qualquer exploração de vulnerabilidade: o acesso é concedido pela própria vítima, enganada por engenharia social.
O que é o ransomware Chaos?
É uma operação de ransomware-as-a-service surgida por volta de fevereiro de 2025, que a Cisco Talos avalia com moderada confiança como provavelmente formada por antigos membros do grupo BlackSuit (Royal). Pratica dupla extorsão, cifrando ficheiros e ameaçando divulgar dados roubados.
Como se pode proteger uma organização?
Restringindo a federação externa do Teams, definindo procedimentos claros de verificação para pedidos de suporte, controlando ferramentas de acesso remoto, usando EDR para detetar atividade suspeita e mantendo backups offline testados. A formação e a consciencialização dos colaboradores são decisivas.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Sophos, pela Cisco Talos e pelo CNCS/CERT.PT.