Investigadores de segurança revelaram os detalhes de uma campanha ativa e de várias vagas que usa iscos de engenharia social disfarçados de atualizações da Adobe e do Zoom, pedidos de revisão de documentos empresariais e utilitários de manutenção do sistema para instalar silenciosamente ferramentas legítimas de gestão remota, como o ConnectWise ScreenConnect. A campanha foi batizada de SMOKE#SCREEN pela equipa de investigação da Securonix e não foi, até ao momento, atribuída a nenhum grupo conhecido. O objetivo final é conceder aos atacantes acesso remoto persistente e de aparência legítima aos sistemas comprometidos.
Resposta rápida: Atacantes disfarçam malware de atualizações da Adobe e do Zoom para instalar o ScreenConnect, uma ferramenta de gestão remota legítima, e obter controlo persistente dos sistemas. Como o software é genuíno e assinado, escapa a muitas defesas. Atualize sempre o Zoom e o Adobe Reader apenas através das ferramentas internas ou do site oficial e desconfie de instaladores inesperados.
O que é a campanha SMOKE#SCREEN
A investigação da Securonix começou com um único dropper em VBScript (zoom-update.vbs) submetido à sua telemetria, que os investigadores rastrearam até um servidor de staging ativo que alojava um arsenal de 15 payloads únicos. Quando analisaram o servidor, todo o diretório estava abertamente acessível, expondo os 15 ficheiros de payload.
Segundo os investigadores Shikha Sangwan, Akshay Gaikwad e Aaron Beardslee, a campanha assenta num conjunto de droppers em VBScript, carregadores em ficheiros batch, executáveis compilados em .NET e uma página de phishing em HTML, todos apontando para um servidor de staging baseado em WsgiDAV localizado em 207.174.0[.]143:8080. Ao mapear a infraestrutura e analisar todas as amostras recolhidas, a equipa conseguiu reconstruir cinco cadeias de ataque distintas, identificar três servidores de relay ScreenConnect separados e documentar como as técnicas do atacante evoluíram desde as amostras iniciais mais cautelosas até à configuração mais agressiva atual.
Quatro iscos e um único objetivo
Os atacantes recorrem a pelo menos quatro temas distintos de engenharia social — atualizações do Zoom, iscos de documentos empresariais, verificações de sistema e falsas atualizações da Adobe — para maximizar a população de potenciais vítimas. Cada caminho de ataque observado tentou persuadir a vítima a abrir um ficheiro que instalava o ScreenConnect.
Entre os ficheiros alojados no servidor encontravam-se instaladores do ScreenConnect com nomes enganadores. Havia instaladores nomeados SystemCheck.msi e Document-review.msi, e o servidor alojava ainda executáveis Windows que se faziam passar por atualizações do Adobe Reader e por visualizadores de documentos.
Porque é tão difícil de detetar
O elemento central desta campanha é o abuso de uma ferramenta legítima. A campanha abusa do ScreenConnect, um programa legítimo de monitorização e gestão remota (RMM); a ferramenta em si não é maliciosa, mas uma instalação controlada por um atacante pode entregar o controlo do ambiente de trabalho, o acesso a ficheiros e um ponto de apoio para atividade posterior, sem os sinais evidentes de malware convencional.
A confiança que o sistema deposita no software assinado é explorada até ao limite. O payload final em todos os caminhos de ataque é um MSI do ScreenConnect legítimo e assinado pela ConnectWise, com uma cadeia de certificado DigiCert válida. Segundo a Securonix, esta é a técnica de evasão mais significativa do arsenal, uma vez que muitos produtos de EDR aplicam um escrutínio reduzido a binários assinados por fornecedores de software empresarial reconhecidos, e o ScreenConnect é uma ferramenta RMM legítima usada por equipas de TI em todo o mundo.
A infraestrutura reforça ainda mais a discrição. A montagem de staging também utilizou Cloudflare Quick Tunnels, rotas temporárias que podem ocultar o local real de alojamento de um download, ecoando campanhas anteriores de entrega via Cloudflare Tunnel que recorriam a infraestrutura de curta duração para esconder payloads. O recurso a túneis Cloudflare, Dropbox, binários assinados pela ConnectWise e pacotes encriptados autossuficientes como mecanismos de evasão significa que os controlos baseados em assinatura e reputação são menos eficazes.
Também chegou ao macOS
Uma característica notável desta operação é o seu desenho multiplataforma. A campanha inclui uma variante para macOS: o pacote ZoomUpdateInstaller.pkg liga-se ao mesmo servidor de relay primário que os MSI para Windows. Isto sugere que os operadores podem perseguir utilizadores em ambientes com dispositivos mistos, e não apenas numa única plataforma. Ainda assim, a prova mais forte de cadeias de infeção concluídas provém dos payloads para Windows analisados pela Securonix.
Um atacante que se adapta
O relatório destaca a capacidade do atacante para ajustar as suas técnicas em resposta às defesas. A remoção de uma sequência de destruição do Windows Defender numa versão mais recente sugere fortemente que essas deteções comportamentais estavam a funcionar; o atacante reparou, adaptou-se e publicou código mais limpo. A abordagem de rotação de payloads serve o mesmo propósito: as mudanças frequentes de payload ajudam os atacantes a evitar a deteção baseada apenas em hashes de ficheiros.
Indicadores técnicos
| Elemento | Detalhe |
|---|---|
| Servidor de staging | 207.174.0[.]143:8080 (baseado em WsgiDAV) |
| Dropper inicial | zoom-update.vbs |
| Instaladores maliciosos | SystemCheck.msi, Document-review.msi |
| Variante macOS | ZoomUpdateInstaller.pkg |
| Servidores de relay | Três servidores de relay ScreenConnect |
| Payloads no servidor | 15 ficheiros únicos; cinco cadeias de ataque reconstruídas |
Nota: uma vez que a campanha rota payloads com frequência e recorre a túneis Cloudflare temporários, os indicadores estáticos podem alterar-se rapidamente. A Securonix recomenda foco na deteção comportamental em vez de assinaturas.
Como se proteger
- Software como o Zoom e o Adobe Reader deve ser atualizado através das ferramentas internas das aplicações ou de instaladores descarregados diretamente do fabricante.
- Os utilizadores de Mac devem tratar pacotes de instalação inesperados como suspeitos, mesmo quando o nome do ficheiro remete para software familiar, pois campanhas anteriores mostraram que aplicações assinadas ou até notarizadas podem iniciar uma instalação maliciosa.
- As organizações devem inventariar as ferramentas de gestão remota aprovadas e identificar agentes ScreenConnect que contactem servidores desconhecidos ou endereços IP em bruto.
- Os responsáveis de defesa devem examinar como o software chegou, que processo o iniciou e se a instalação foi autorizada, pois o nome ScreenConnect e a sua assinatura digital válida não bastam para provar que uma instalação é segura.
Porque é que isto importa em Portugal
O abuso de ferramentas RMM legítimas é uma tendência crescente porque permite aos atacantes contornar controlos de segurança e misturar-se com o ferramental de TI autorizado, sem terem de implantar um cavalo de Troia de acesso remoto dedicado. Para PME e organizações portuguesas, isto significa que o simples facto de um software ser assinado e conhecido não garante que a sua instalação seja legítima — o contexto de como foi instalado é decisivo.
Este tipo de intrusão liga-se diretamente às obrigações do novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), que reforça exigências de gestão de risco, monitorização e notificação de incidentes junto do CNCS/CERT.PT para as entidades abrangidas. Sempre que um acesso remoto não autorizado possa expor dados pessoais, aplicam-se ainda as regras do RGPD, com potenciais deveres de notificação à CNPD e aos titulares dos dados. Manter um inventário rigoroso das ferramentas de acesso remoto e formar os colaboradores para reconhecerem falsos pedidos de atualização são medidas de baixo custo com elevado retorno preventivo.
Perguntas frequentes
O que é o ScreenConnect e porque está a ser usado nesta campanha?
O ScreenConnect é uma ferramenta legítima de monitorização e gestão remota da ConnectWise, muito usada por equipas de TI. Os atacantes instalam-no de forma sub-reptícia e configuram-no para ligar a servidores que controlam, obtendo acesso remoto de aparência legítima e difícil de distinguir de suporte técnico normal.
Como é que o malware chega ao computador?
Através de iscos de engenharia social temáticos: falsas atualizações do Zoom ou da Adobe, pedidos de revisão de documentos e utilitários de manutenção. A vítima é levada a abrir um ficheiro — como um VBScript ou um MSI com nome enganador — que instala silenciosamente o agente de acesso remoto.
O macOS também está em risco?
Sim. A campanha inclui um pacote para macOS, o ZoomUpdateInstaller.pkg, que se liga ao mesmo servidor de relay principal dos payloads Windows. A prova mais robusta de infeção completa provém, contudo, das amostras Windows analisadas pela Securonix.
Como me protejo destas falsas atualizações?
Atualize o Zoom e o Adobe Reader apenas pelas ferramentas internas das aplicações ou pelo site oficial do fabricante, nunca por links de e-mails ou pop-ups. Desconfie de instaladores inesperados e, nas organizações, mantenha um inventário das ferramentas RMM aprovadas para detetar agentes que contactem servidores desconhecidos.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Securonix Threat Research e por publicações de segurança que reportaram a campanha SMOKE#SCREEN.