Uso em Cadeia de Ferramentas RMM Maliciosas: Como Atores de Ameaça Abusam de Software de Gerenciamento Remoto para Acesso Inicial

O abuso de ferramentas RMM deixou de ser uma exceção para virar a principal via de acesso inicial em ataques direcionados no Brasil e nas Américas, com aumento de 277% em 2025, segundo a Huntress. O que torna esse vetor perigoso não é o malware, mas a normalidade: Action1, ScreenConnect e PDQ Connect são softwares legítimos, usados diariamente por TI, e seus binários não acionam antivírus tradicionais. Atacantes exploram isso ao instalar agentes RMM via MSI malicioso executado por wscript, injetar scripts gerados por LLM para fragmentar a telemetria e usar bots do Telegram como canal C2, evitando redes corporativas bloqueadas e contornando proxies. A técnica de disfarçar pin.exe como 'Windows Security' replica padrões de engenharia social observados em campanhas reais no Brasil, onde golpes com falsos alertas do Windows Defender já ressurgiram em 2025 com iscas de SSA e notas fiscais eletrônicas.

WebBrowserPassView e HideUL.exe não são novidades técnicas, mas sua combinação com RMM representa um salto operacional: agora os atacantes não só roubam senhas de navegadores, mas escondem a própria presença da ferramenta de gerenciamento que as está coletando. Isso dificulta auditorias manuais e escaneamentos de lista de programas, especialmente crítico em ambientes com políticas de segurança baseadas em inventário visual. A vulnerabilidade CVE-2025-3935 no ScreenConnect, divulgada em abril de 2025, ainda tem implantações ativas sem patch, segundo a Barracuda, e serve como porta de entrada para injeção de agentes RMM maliciosos em redes já comprometidas.

Empresas brasileiras estão na mira: o país foi o terceiro mais impactado pelas Américas em incidentes cibernéticos no primeiro semestre de 2025, com 87.689 denúncias registradas pela SaferNet, crescimento de 28,4%. Como mais de 51 soluções RMM já foram identificadas como alvos, a confiança cega em ferramentas de administração legítimas se tornou um risco sistêmico. Não basta bloquear RMM não autorizados; é preciso monitorar *qualquer* instalação MSI em pastas graváveis pelo usuário, validar assinaturas de todos os agentes RMM em execução e tratar como suspeita toda comunicação entre um agente RMM e um endpoint que não esteja na lista de controle de acesso. A falha não está no software, mas na ausência de políticas que exijam justificativa operacional para cada uso de RMM, algo que o lolrmm.io ajuda a mapear, mas que precisa ser integrado a processos de aprovação de TI e compliance.