Trojan de Acesso Remoto Ataca Usuários Através do ScreenConnect, Disfarçado de Software Legítimo
Especialistas da Kaspersky identificaram uma campanha maliciosa que distribui o ScreenConnect, uma ferramenta de acesso remoto legítima, disfarçada de softwares populares. Mais de 90 domínios falsos foram encontrados, promovidos via SEO para enganar usuários.
MundiX News·07 de julho de 2026·6 min de leitura·👁 1 views
Especialistas da Kaspersky descobriram uma campanha de ataque cibernético em andamento onde os operadores estão distribuindo o ScreenConnect, uma ferramenta legítima de acesso remoto, disfarçando-a como programas populares para Windows. Os pesquisadores identificaram mais de 90 domínios falsos em dez idiomas, incluindo o russo, que visam enganar usuários desavisados. Esses sites maliciosos imitam as páginas oficiais de softwares amplamente utilizados, como OBS Studio, DNS Jumper, DS4Windows, Glary Utilities, Bandicam e Process Hacker, entre outras utilidades gratuitas. Os atacantes utilizam técnicas de SEO (Search Engine Optimization) para promover esses recursos falsificados, fazendo com que apareçam entre os primeiros resultados de busca em motores como Google e Bing, aumentando significativamente a probabilidade de serem encontrados e baixados pelas vítimas.
A investigação teve início após o serviço Kaspersky Managed Detection and Response (MDR) detectar scripts suspeitos de PowerShell e VBS sendo executados pelo processo do ScreenConnect. A análise revelou que, utilizando esta ferramenta de acesso remoto, os hackers conseguiram implantar um trojan de acesso remoto open-source conhecido como AsyncRAT em computadores infectados. Uma análise retrospectiva detalhada mostrou que uma das vítimas baixou um arquivo compactado chamado obs-studio-windows-x64.zip de um site que simulava ser o portal oficial do OBS Studio. Uma estratégia semelhante foi observada em dezenas de outros domínios falsificados, indicando um padrão de ataque consistente e bem planejado. Os arquivos maliciosos baixados desses sites contêm um arquivo executável legítimo e assinado, install.exe, juntamente com uma biblioteca DLL, install.res.1033.dll. Quando o instalador é executado, a biblioteca DLL é carregada através de uma técnica conhecida como DLL sideloading, que permite a instalação de dois programas simultaneamente: o software que a vítima esperava obter e o ScreenConnect. Notavelmente, a ferramenta de acesso remoto é instalada de forma silenciosa, sem a necessidade de reinicialização do sistema, o que a torna ainda mais difícil de detectar.
Uma vez instalado, o ScreenConnect se registra no sistema como um serviço com um nome aparentemente inofensivo, como "Microsoft Update Service", e estabelece uma conexão com um servidor controlado pelos atacantes. Essa conexão permite que os hackers obtenham acesso remoto ao sistema comprometido e iniciem as próximas fases do ataque. No incidente específico analisado pelos especialistas, os scripts maliciosos adicionaram exclusões ao Windows Defender, incluindo discos, diretórios e o processo RegAsm.exe, além de desativarem o Controle de Conta de Usuário (UAC). Em seguida, o payload malicioso era descriptografado e injetado em um processo RegAsm.exe previamente suspenso, utilizando uma técnica conhecida como process hollowing. Como resultado, o AsyncRAT era executado dentro do processo legítimo do sistema. Para garantir a persistência na máquina da vítima, o malware criava uma tarefa agendada chamada MasterPackager.Updater, configurada para ser executada a cada dois minutos. O AsyncRAT concede aos seus operadores controle total sobre o computador comprometido, permitindo o roubo de dados e a instalação de malware adicional. A campanha representa um risco particular para redes corporativas, onde ferramentas de administração remota são frequentemente permitidas e operam com privilégios elevados, facilitando a movimentação lateral e o acesso a informações sensíveis. A infraestrutura maliciosa desta campanha começou a ser formada em outubro de 2025, inicialmente disfarçando sites como portais de jogos, e mudando o foco para utilidades gratuitas em janeiro de 2026. O pico de registros de domínios falsos ocorreu em fevereiro, com uma aparente pausa na atividade dos C2 (Command and Control) no final de março, embora muitos sites de isca ainda estivessem ativos no momento da publicação da pesquisa. "A campanha visa tanto usuários comuns que baixam utilidades gratuitas da internet quanto redes corporativas, onde ferramentas de acesso remoto frequentemente estão na lista de softwares permitidos e possuem privilégios elevados. Ela é perigosa porque pode levar a um roubo em larga escala de credenciais e ao acesso não autorizado a sistemas. As informações roubadas podem ser usadas posteriormente para revenda em mercados clandestinos", alerta Denis Kulik, especialista em cibersegurança da Kaspersky.
🛡️⚡
Pare de pesquisar. Comece a hackear.
O MundiX é seu copiloto de pentest com IA: comandos exatos, análise de outputs e próximo passo na kill chain — em segundos.
Sem cartão para começar · Planos a partir de R$49/mês
Especialistas da Kaspersky descobriram uma campanha de ataque cibernético em andamento onde os operadores estão distribuindo o ScreenConnect, uma ferramenta legítima de acesso remoto, disfarçando-a como programas populares para Windows. Os pesquisadores identificaram mais de 90 domínios falsos em dez idiomas, incluindo o russo, que visam enganar usuários desavisados. Esses sites maliciosos imitam as páginas oficiais de softwares amplamente utilizados, como OBS Studio, DNS Jumper, DS4Windows, Glary Utilities, Bandicam e Process Hacker, entre outras utilidades gratuitas. Os atacantes utilizam técnicas de SEO (Search Engine Optimization) para promover esses recursos falsificados, fazendo com que apareçam entre os primeiros resultados de busca em motores como Google e Bing, aumentando significativamente a probabilidade de serem encontrados e baixados pelas vítimas.
A investigação teve início após o serviço Kaspersky Managed Detection and Response (MDR) detectar scripts suspeitos de PowerShell e VBS sendo executados pelo processo do ScreenConnect. A análise revelou que, utilizando esta ferramenta de acesso remoto, os hackers conseguiram implantar um trojan de acesso remoto open-source conhecido como AsyncRAT em computadores infectados. Uma análise retrospectiva detalhada mostrou que uma das vítimas baixou um arquivo compactado chamado obs-studio-windows-x64.zip de um site que simulava ser o portal oficial do OBS Studio. Uma estratégia semelhante foi observada em dezenas de outros domínios falsificados, indicando um padrão de ataque consistente e bem planejado. Os arquivos maliciosos baixados desses sites contêm um arquivo executável legítimo e assinado, install.exe, juntamente com uma biblioteca DLL, install.res.1033.dll. Quando o instalador é executado, a biblioteca DLL é carregada através de uma técnica conhecida como DLL sideloading, que permite a instalação de dois programas simultaneamente: o software que a vítima esperava obter e o ScreenConnect. Notavelmente, a ferramenta de acesso remoto é instalada de forma silenciosa, sem a necessidade de reinicialização do sistema, o que a torna ainda mais difícil de detectar.
Uma vez instalado, o ScreenConnect se registra no sistema como um serviço com um nome aparentemente inofensivo, como "Microsoft Update Service", e estabelece uma conexão com um servidor controlado pelos atacantes. Essa conexão permite que os hackers obtenham acesso remoto ao sistema comprometido e iniciem as próximas fases do ataque. No incidente específico analisado pelos especialistas, os scripts maliciosos adicionaram exclusões ao Windows Defender, incluindo discos, diretórios e o processo RegAsm.exe, além de desativarem o Controle de Conta de Usuário (UAC). Em seguida, o payload malicioso era descriptografado e injetado em um processo RegAsm.exe previamente suspenso, utilizando uma técnica conhecida como process hollowing. Como resultado, o AsyncRAT era executado dentro do processo legítimo do sistema. Para garantir a persistência na máquina da vítima, o malware criava uma tarefa agendada chamada MasterPackager.Updater, configurada para ser executada a cada dois minutos. O AsyncRAT concede aos seus operadores controle total sobre o computador comprometido, permitindo o roubo de dados e a instalação de malware adicional. A campanha representa um risco particular para redes corporativas, onde ferramentas de administração remota são frequentemente permitidas e operam com privilégios elevados, facilitando a movimentação lateral e o acesso a informações sensíveis. A infraestrutura maliciosa desta campanha começou a ser formada em outubro de 2025, inicialmente disfarçando sites como portais de jogos, e mudando o foco para utilidades gratuitas em janeiro de 2026. O pico de registros de domínios falsos ocorreu em fevereiro, com uma aparente pausa na atividade dos C2 (Command and Control) no final de março, embora muitos sites de isca ainda estivessem ativos no momento da publicação da pesquisa. "A campanha visa tanto usuários comuns que baixam utilidades gratuitas da internet quanto redes corporativas, onde ferramentas de acesso remoto frequentemente estão na lista de softwares permitidos e possuem privilégios elevados. Ela é perigosa porque pode levar a um roubo em larga escala de credenciais e ao acesso não autorizado a sistemas. As informações roubadas podem ser usadas posteriormente para revenda em mercados clandestinos", alerta Denis Kulik, especialista em cibersegurança da Kaspersky.
📤 Compartilhar & Baixar
🧰 Ferramentas recomendadas
Divulgação: alguns links são patrocinados. Podemos receber comissão se você comprar — sem custo extra para você. Só indicamos o que faz sentido para a comunidade.
