Ferramentas corporativas desenhadas para fiscalizar produtividade e oferecer suporte remoto estão sendo reaproveitadas por cibercriminosos para infiltração, espionagem e até sequestro de dados. Pesquisadores da Huntress identificaram uma campanha emergente em que invasores combinam o Net Monitor for Employees Professional com a suíte SimpleHelp para obter acesso privilegiado, escapar de antivírus e, em etapa final, implantar o ransomware Crazy ou roubar criptomoedas.
Por que esses dois programas chamam tanta atenção dos atacantes?
Ambos são populares em ambientes de TI legítimos. O Net Monitor foi criado para flagrar funcionários “matando tempo”, mas inclui funções avançadas de remote access capazes de:
- Iniciar conexões reversas em portas comuns (facilitando a passagem por firewalls);
- Disfarçar processos e serviços para não levantar suspeitas;
- Executar comandos em shell sem alertar o usuário.
Já o SimpleHelp é queridinho de equipes de suporte porque oferece agente leve, redundância de gateway e comunicação em portas padrões do Windows. Justamente esses diferenciais — pensados para facilitar a vida do administrador — viram trunfos para quem pretende se manter invisível na rede.
O passo a passo do ataque descoberto
A Huntress rastreou dois incidentes, um em janeiro e outro no início de fevereiro:
- Invasão inicial: os hackers aproveitaram credenciais vazadas de VPN de um fornecedor ou contas administrativas internas.
- Implantação silenciosa do Net Monitor já existente na rede ou baixado na hora via PowerShell, camuflado como serviço do OneDrive.
- Download do agent SimpleHelp por meio do próprio Net Monitor, adicionando um canal extra de persistência.
- Evasão de defesa: comandos para desabilitar o Windows Defender não surtiram efeito, mas mostraram a intenção clara de permanecer indetectáveis.
- Objetivo final: tentativa de acionar o ransomware Crazy ou varrer o disco em busca de seeds, carteiras e termos ligados a criptomoedas.
Living off the land: quando o inimigo usa suas próprias ferramentas
Empregar softwares legítimos já instalados no parque de máquinas é a essência da tática “living off the land”. Ela reduz ruídos que soluções de segurança procuram, porque:
- Assinaturas de antivírus raramente marcam esses executáveis como maliciosos;
- Transito em portas comuns (80, 443, 3389) não desperta alertas de IDS/IPS;
- Os logs, quando existem, se confundem com atividades diárias de administradores.
Johannes Ullrich, do SANS Institute, lembra que qualquer agente com permissão para coletar dados remotamente tem, por consequência, a capacidade de executar código. Se mal configurado, vira brecha de alto impacto.
Medidas de contenção imediata
Para CISOs e administradores que já usam ou consideram essas soluções, as recomendações são claras:
Imagem: Howard Solom
- Inventário contínuo de softwares: detecte instalações não autorizadas em tempo real;
- Privilégios mínimos: Net Monitor em máquinas sem acesso a dados sensíveis e sempre isolado de controladores de domínio;
- MFA e senhas fortes em VPNs, RDP e consoles dos próprios produtos;
- Patching ágil: em 2025, a CISA alertou para falhas não corrigidas no SimpleHelp usadas por grupos de ransomware;
- Treinamento de usuários: muitos agentes “fantasma” chegam por e-mails de phishing que pedem “suporte remoto rápido”.
Impacto prático para quem trabalha (ou joga) de casa
Mesmo que você seja entusiasta de hardware e passe mais tempo pesquisando novas GPUs ou teclados mecânicos na Amazon, vale o alerta: se a máquina que você usa para games ou home office também roda ferramentas corporativas de acesso remoto, ela pode virar ponto de apoio para criminosos. Um ransomware ativo consome recursos de CPU e GPU, degrada a performance em jogos competitivos e, pior, pode criptografar SSDs de alto desempenho sem aviso.
Manter sistemas atualizados e usar soluções de autenticação física, como chaves YubiKey ou tokens FIDO2, ajuda a impedir que credenciais caiam em mãos erradas — investimento muito menor do que o prejuízo de um resgate em criptomoedas.
No fim das contas, a linha entre produtividade e vulnerabilidade nunca foi tão tênue. Se aplicativos pensados para vigiar colaboradores podem ser invertidos contra a própria empresa, todo periférico conectado ao seu PC — do hub USB ao headset — torna-se parte de uma superfície de ataque que precisa ser gerenciada com o mesmo zelo com que você escolhe sua próxima placa-mãe.
Com informações de Computerworld
