Introdução
O ransomware é uma das ameaças cibernéticas mais disruptivas, criptografando dados organizacionais críticos e exigindo o pagamento de resgate para sua restauração. Enquanto as primeiras campanhas dependiam de phishing em massa ou distribuição oportunista de malware, as operações modernas de ransomware evoluíram para ataques altamente sofisticados e direcionados. Os adversários atuais não apenas infectam máquinas, mas também se movem lateralmente pelas redes, coletam credenciais, neutralizam defesas e mantêm controle persistente — tudo isso enquanto permanecem furtivos e evitam a detecção.
Aviso : As ferramentas de acesso remoto discutidas neste blog são softwares legítimos projetados para dar suporte à administração de TI e ao suporte remoto. Este artigo destaca como os invasores podem utilizá-las indevidamente em campanhas de ransomware caso estejam mal configuradas, mal gerenciadas ou sem monitoramento. Isso não significa que as ferramentas em si sejam inerentemente vulneráveis ou maliciosas.
Um fator crucial que facilita esses ataques é a exploração de ferramentas legítimas de acesso remoto (RATs), como AnyDesk, UltraViewer, AppAnywhere, RustDesk, CloneDesk, Splashtop e TightVNC . Originalmente projetadas para administração de TI e suporte remoto, muitas dessas ferramentas oferecem versões gratuitas ou de acesso livre , que os atacantes frequentemente exploram por serem fáceis de implantar, amplamente confiáveis e frequentemente incluídas em listas de permissões em ambientes corporativos. Essas ferramentas fornecem:
- Acesso autônomo: Conecte-se sem interação do usuário
- Transferência de arquivo: Mover binários ou exfiltrar dados
- Controle interativo da área de trabalho: Executar tarefas administrativas remotamente
- Comunicações criptografadas: Evite o monitoramento de rede
As organizações frequentemente colocam Ferramentas de Acesso Remoto na lista de permissões e confiam em suas assinaturas digitais, que os invasores exploram para contornar os controles de segurança e persistir furtivamente. Entender como as Ferramentas de Acesso Remoto são utilizadas de forma abusiva é fundamental para construir defesas eficazes contra ameaças modernas de ransomware.
A cadeia de destruição do ransomware: uma análise passo a passo
A cadeia de destruição do ransomware descreve cada etapa de um ataque, desde o acesso inicial até o impacto final. Quando os invasores utilizam ferramentas legítimas de acesso remoto, eles ganham furtividade, persistência e controle, tornando a detecção e a mitigação mais desafiadoras.
Compreender cada etapa da cadeia de destruição é essencial para os defensores. Isso não apenas ajuda a reconhecer padrões de ataque precocemente, mas também a construir defesas mais fortes e em camadas para deter os invasores. Ao analisar cada fase, as equipes de segurança podem antecipar melhor o comportamento dos adversários e tomar medidas oportunas para interromper atividades maliciosas antes que elas causem danos graves. A seção a seguir fornece uma análise detalhada, passo a passo, de como os operadores de ransomware exploram ferramentas legítimas de acesso remoto para avançar em suas campanhas.
Etapa 1: Acesso Inicial – Comprometimento de Credenciais
Os invasores obtêm acesso legítimo usando credenciais roubadas ou obtidas por força bruta, contornando as defesas e se passando por usuários confiáveis. A segmentação de contas de administrador proporciona controle máximo e possibilita etapas posteriores, como a implantação da Ferramenta de Acesso Remoto e a movimentação lateral.
Caminhos de ataque comuns:
- Ataques de força bruta contra endpoints RDP/SMB
- Reutilização de credenciais de vazamentos ou violações anteriores
- Direcionando contas de administrador para privilégios máximos
Indicadores de detecção:
- IDs de eventos do Windows 4625 → 4624 (vários logins com falha imediatamente seguidos de sucesso)
- Tipo de logon RDP 10 em horários incomuns
- Logins de geolocalizações inesperadas.
Estágio 2: Abuso de ferramentas remotas – Sequestro vs. Instalação silenciosa
Após obter acesso, os invasores se concentram na implantação da Ferramenta de Acesso Remoto para obter persistência furtiva. Eles podem sequestrar uma Ferramenta de Acesso Remoto existente para evitar a detecção ou executar uma instalação silenciosa usando instaladores assinados com pegada mínima. A instalação silenciosa geralmente utiliza sinalizadores de linha de comando conhecidos, documentação do fornecedor ou engenharia reversa para encontrar parâmetros de implantação.
Método 1: Sequestrando ferramentas de acesso remoto existentes
- Enumere as Ferramentas de Acesso Remoto instaladas via WMI, registro ou PowerShell.
- Adicione credenciais do invasor ou modifique as configurações de acesso.
- Evita a criação de novos arquivos ou processos, reduzindo o risco de detecção.
Método 2: Instalação silenciosa de ferramentas de acesso remoto
- Implante instaladores leves e assinados sem interação do usuário.
- Sinalizadores de instalação silenciosa: /S, /VERYSILENT, /quiet, /NORESTART.
| Ferramentas Remotas | comandos | Finalidade / Efeito |
| AnyDesk | anydesk.exe –instalar “C:\ProgramData\AnyDesk” –silent –start-with-win | Serviço de acesso remoto persistente |
| Ultravisualizador | UltraViewer_Setup.exe /VERYSILENT /NORESTART | Instalar silenciosamente sem reinicializar |
| AppAnywhere | msiexec /i AppAnywhere.msi /quiet /norestart | Implantação silenciosa em estilo empresarial |
| Rust Desk | rustdesk.exe –service install –senha “Str0ngPass123” | Permite acesso remoto não supervisionado |
| Mesa Clone | CloneDesk_Setup.exe /S /D=C:\Dados do Programa\CloneDesk | Instalação com pegada mínima |
| Splashtop | Splashtop_Streamer.exe /s /i silencioso=1 pré-verificação=0 confirmar=0 | Implantação empresarial silenciosa |
| TightVNC | tightvnc-setup.exe /S /NORESTART | Instalação oculta orientada por CLI |
Estágio 3: Persistência e Consolidação de Privilégios
Os invasores utilizam chaves de execução do registro (HKCU\Software\Microsoft\Windows\CurrentVersion\Run), tarefas agendadas ocultas e modificações em arquivos de configuração para manter a persistência. A escalada de privilégios é realizada por meio de ferramentas como PowerRun ou TrustedInstaller, permitindo que as Ferramentas de Acesso Remoto sejam executadas com privilégios de SISTEMA e contornem as restrições em nível de usuário.
Mecanismos:
- Chaves de execução do registro: HKCU\Software\Microsoft\Windows\Versão Atual\Executar
- Atividades agendadas: Tarefas ocultas para reiniciar automaticamente as Ferramentas de Acesso Remoto
- Arquivos de configuração: Modifique config.toml (RustDesk) para acesso autônomo
- Escalação de privilégios: Inicie a Ferramenta de Acesso Remoto como SISTEMA usando PowerRun ou TrustedInstaller
- Monitoramento: Novas chaves de registro, tarefas agendadas, processos elevados da Ferramenta de Acesso Remoto
Etapa 4: Neutralização antivírus e anti-forense
Usando as Ferramentas de Acesso Remoto, invasores podem interromper interativamente serviços antivírus, manipular políticas de grupo e adicionar diretórios das Ferramentas de Acesso Remoto a listas de exclusão. Logs críticos são limpos e ferramentas de destruição de arquivos são usadas para remover evidências forenses, dificultando a investigação pós-incidente.
Técnicas:
- Interrompa os serviços antivírus: parada sc ou parada de rede
- Manipulação de políticas: Adicione diretórios da Ferramenta de Acesso Remoto às exclusões.
- Limpeza de logs: Os adversários geralmente usam as seguintes linhas de comando como parte do Anti-Forensics para limpar logs de eventos:
wevtutil cl Segurança
Sistema wevtutil cl
Aplicação wevtutil cl - Destruição de arquivos: Remover artefatos forenses
Etapa 5: Implantação e execução da carga útil
Os invasores interrompem serviços antivírus, modificam políticas de segurança, desabilitam mecanismos de recuperação, limpam logs de eventos e destroem arquivos confidenciais para evitar a detecção e dificultar investigações forenses. Eles também podem adulterar soluções de backup, desabilitar cópias de sombra e usar binários "Living-off-the-Land" (LOLBins), como rundll32 ou PowerShell, para mesclar ações maliciosas com processos legítimos. Essas ações garantem visibilidade mínima para os defensores e criam um ambiente seguro para a execução de ransomware.
Mecanismo:
- O ransomware é distribuído por meio de canais de ferramentas de acesso remoto, muitas vezes disfarçados como atualizações confiáveis ou ações administrativas, e executados em sessões remotas existentes para ignorar a suspeita do usuário e o monitoramento de segurança.
Estágio 6: Expansão Lateral
O movimento lateral é facilitado pela reutilização de credenciais, propagação da Ferramenta de Acesso Remoto ou exploração de implantações da Ferramenta de Acesso Remoto empresarial.
Mecanismos:
- Reutilização de credenciais em endpoints
- Exploração da ferramenta de acesso remoto empresarial para implantação em massa
Indicadores:
- Vários endpoints relatando novas conexões da Ferramenta de Acesso Remoto
- Tarefas agendadas não autorizadas ou modificações de registro em máquinas
Etapa 7: Impacto – Criptografia e Bloqueio
A execução da carga útil do ransomware aciona criptografia de dados, bloqueios de contas e alterações de credenciais da Ferramenta de Acesso Remoto para bloquear a correção administrativa. Campanhas como as variantes LockBit, Black e Basta demonstram esse estágio final em ataques reais.
Resultado:
- Criptografar arquivos em sistemas de destino
- Bloqueie contas ou altere as credenciais da Ferramenta de Acesso Remoto para evitar a correção
Exemplos de campanhas do mundo real
Abaixo estão as ferramentas de acesso remoto comumente utilizadas por adversários em campanhas de ransomware para persistência, implantação e movimento lateral.
| Remote Acesso a ferramenta | Campanhas de ransomware associadas |
| AnyDesk | TargetCompany, D3adCrypt, Makop, Mallox, Phobos, LockBit 2.0, LockBit 3.0, LockBit 2025 Renegade, Beast, Dharma, Proton / Shinra, MedusaLocker |
| Ultravisualizador | Besta, CERBER, Dharma (família .cezar), GlobeImposter 2.0, LockBit 3.0, Makop, Phobos, SpiderPrey, TargetCompany |
| AppAnywhere | Makop, Ryuk, D3adCrypt, Dharma |
| Rust Desk | Mímico, LockXXX, Dyamond, D3adCrypt, Makop |
| Splashtop | Makop, BlueSky, RansomHub, Proxima |
| TightVNC | Cerber 4.0 / 5.0 |
Mapeamento TTP do ator de ameaça (MITRE ATT&CK)
Compreender as táticas, técnicas e procedimentos (TTPs) utilizados pelos adversários é crucial para a defesa contra campanhas de ransomware conduzidas por Ferramentas de Acesso Remoto. Ao mapear essas atividades para a estrutura MITRE ATT&CK, as equipes de segurança podem visualizar como os invasores obtêm acesso, implementam ferramentas, mantêm a persistência, escalam privilégios e, por fim, entregam payloads impactantes. A tabela abaixo destaca os principais estágios do ataque, as técnicas utilizadas e as ferramentas de acesso remoto comumente utilizadas, alinhadas a cada etapa.
| estágios | Técnica | ID da subtécnica MITRE ATT&CK | Observações |
| Acesso Inicial | Brute Force | T1110.001 | Segmentação de endpoints RDP/SMB para obter acesso inicial |
| Implantação de ferramentas | Transferência de ferramenta de entrada | T1105 | Utilitários de acesso remoto transferidos para execução |
| Execução | Serviços Remotos | T1021.001 | Sessões remotas usadas para executar cargas úteis |
| Persistência | Chaves de execução do registro | T1547.001 | Chaves de registro criadas/modificadas para persistência da ferramenta |
| Escalonamento de Privilégios | Mecanismo de Controle de Elevação de Abuso | T1548.002 | Elevação de privilégios observada para executar ferramentas com direitos de SISTEMA |
| Evasão de Defesa | Prejudicar Defesas | T1562.001 | Serviços de segurança desabilitados, registros limpos |
| Movimento lateral | Serviços Remotos | T1021.001 | Serviços remotos abusados para se mover entre pontos de extremidade |
| Impacto | Dados criptografados para impacto | T1486 | Ferramentas utilizadas para implantar ransomware e criptografar dados |
Tendências emergentes e ameaças futuras
À medida que os operadores de ransomware evoluem, surgem novas táticas que vão além da exploração tradicional no local. Essas tendências destacam como os invasores estão combinando automação, abuso na nuvem e ecossistemas RaaS para maximizar a escala e a furtividade de suas operações.
- AIImplantação da ferramenta de acesso remoto orientada por: Tomada de decisão automatizada para cargas úteis
- Abuso da ferramenta de acesso remoto à nuvem: Explorando portais de acesso remoto baseados em nuvem
- Integração RaaS: Ferramentas de acesso remoto incorporadas em ofertas de ransomware como serviço para campanhas empresariais
- Ataques em vários estágios: Comprometimento inicial da Ferramenta de Acesso Remoto seguido por cargas secundárias (exfiltração de dados, criptojacking, ransomware lateral)
Quão rápida é a cicatrização? Seqrite Proteja-se contra essas atividades.
Os autores de ransomware podem tentar usar ferramentas confiáveis como armas, mas o Quick Heal e Seqrite São construídas com múltiplas camadas de defesa para impedir ataques. Combinando monitoramento em tempo real, autoproteção e detecção comportamental avançada, essas soluções garantem que os invasores não consigam desativar a segurança facilmente ou passar despercebidos.
- Proteção contra o vírus: Detecta e neutraliza ativamente instaladores trojanizados ou payloads ocultos antes que eles possam ser executados.
- Autoproteção antivírus: Impede que invasores encerrem ou desinstalem serviços de segurança à força.
- Detecção baseada em comportamento: Monitora atividades anormais vinculadas a ransomware, como alterações em massa de arquivos ou inicialização de processos suspeitos.
- Proteção contra ransomware: Bloqueia tentativas de criptografia não autorizadas em tempo real, interrompendo o ataque antes que os dados sejam bloqueados.
- Controle de aplicativos: Restringe o uso de ferramentas remotas não autorizadas, garantindo que somente aplicativos confiáveis possam ser executados.
Melhores práticas e recomendações de segurança
Defender-se contra ransomware não se trata apenas de ter as ferramentas certas — trata-se também de usá-las com sabedoria e criar hábitos sólidos no dia a dia. Aqui estão algumas medidas práticas que toda organização pode tomar para se manter à frente dos invasores:
- Restringir o uso da ferramenta de acesso remoto: Mantenha apenas as ferramentas remotas que você realmente precisa e remova o restante. Quanto menos pontos de entrada, mais seguros seus sistemas estarão.
- Aplicar autenticação multifator (MFA): Mesmo que invasores roubem uma senha, o MFA torna muito mais difícil para eles fazerem login.
- Limitar direitos administrativos: Não conceda privilégios de administrador, a menos que seja absolutamente necessário. Menos privilégios significam menos danos se uma conta for comprometida.
- Auditar e monitorar logs continuamente: Fique de olho nos seus registros — logins incomuns, instalações silenciosas ou comandos de configuração estranhos podem ser sinais de alerta precoce.
- Atualizações e patches regulares: Fique por dentro das atualizações dos seus sistemas operacionais e ferramentas de segurança para que invasores não consigam explorar falhas antigas.
- Treinamento de conscientização do usuário: As pessoas são a primeira linha de defesa. Treinar a equipe para identificar e-mails de phishing ou atividades suspeitas de suporte remoto pode impedir ataques antes mesmo que eles comecem.
Conclusão:
Ferramentas de TI legítimas podem facilmente se tornar vetores de ataque ocultos quando mal gerenciadas, e o abuso de Ferramentas de Acesso Remoto é agora um fator crítico para o surgimento de ransomware de última geração. Para combater esse risco, as empresas precisam de uma abordagem em camadas que combine governança, monitoramento e resposta rápida.
Cura rápida e Seqrite Desempenham um papel central nessa estratégia de defesa, fornecendo forte proteção antivírus, detecção comportamental e proteção contra ransomware. Quando combinadas com governança rigorosa e resposta a incidentes, as organizações podem se manter um passo à frente dos atacantes.
As principais medidas incluem:
- Governança e lista de permissões da Ferramenta de Acesso Remoto
- Proteção antivírus multicamadas com tecnologia Quick Heal / Seqrite
- Detecção comportamental e filtragem de saída
- Resposta rápida a incidentes para contenção e recuperação
Ao adotar essa estratégia de defesa em várias camadas, as organizações podem detectar, conter e mitigar proativamente campanhas de ransomware baseadas na Ferramenta de Acesso Remoto, transformando ferramentas confiáveis de ameaças potenciais em ativos controlados e gerenciáveis.
Autor: Matin Tadvi
Coautor : Umar Khan
