Alerta Crítico: Ataques de Phishing de Voz Via Microsoft Teams Miram Acesso Remoto e Controle de Domínio

A operação "Spring Ring" representa uma escalada nos ataques de phishing de voz (vishing) via Microsoft Teams, focando agora no comprometimento de acesso remoto e controle de domínio. Cibercriminosos registram domínios externos .onmicrosoft[.]com com nomes de suporte técnico para enganar vítimas. O modus operandi inclui iniciar chats e, rapidamente, chamadas de voz para persuadir os usuários a executar ferramentas legítimas de gerenciamento remoto (RMM), como o Quick Assist, ou a baixar executáveis customizados.

Após o acesso inicial, a ameaça se diversifica. Uma das cadeias de ataque observadas implanta um Remote Access Trojan (RAT) em PowerShell, que se destaca por sua ofuscação e por desativar o Antimalware Scan Interface (AMSI), dificultando a detecção. Outra variante, mais avançada, utiliza uma cadeia de execução Python que explora a coerção PetitPotam contra Controladores de Domínio na porta 445, visando obter privilégios de nível de domínio. Para as defesas, restringir o acesso externo no Teams, bloquear hashes de payloads conhecidos e monitorar padrões de chat-para-chamada vindos de VPNs comerciais são ações mandatórias.

O que antes era um alerta sobre a tendência de abusar do Microsoft Teams para ataques de engenharia social, conforme noticiamos em março de 2026 na matéria "Golpe de engenharia social no Microsoft Teams revela que invasores migram para canais de colaboração em tempo real", e um aviso da própria Microsoft em abril de 2026 sobre a impersonificação de helpdesk, na matéria "Microsoft Alerta: Uso Abusivo do Teams em Ataques de Impersonificação de Helpdesk", agora se materializa em campanhas com vetores de ataque muito mais sofisticados. Os ataques "Spring Ring" vão além do roubo de credenciais básico. Eles agora incorporam payloads avançados que desabilitam mecanismos de segurança como o AMSI e buscam diretamente o comprometimento de Controladores de Domínio via exploits como PetitPotam. Não é mais só um golpe de login, é uma invasão completa com foco em acesso e controle sistêmico.

Para as empresas, esta nova onda de ataques de phishing de voz via Teams sublinha a necessidade urgente de reavaliar suas estratégias de segurança para plataformas de colaboração. A confiança inerente em ferramentas como o Teams e a facilidade com que atacantes podem simular identidade interna tornam esses ataques difíceis de serem detectados por defesas tradicionais. O risco de um comprometimento que desabilite defesas, como o AMSI, e que leve ao controle de domínio é altíssimo, com implicações graves para a proteção de dados, a continuidade dos negócios e a reputação. É um lembrete cruel de que a superfície de ataque se expandiu significativamente para além do e-mail.