SOC Prime Bias: Médio

04 Nov 2025 09:03
newspaper icon Proofpoint

Acesso Remoto, Carga Real: Cibercriminosos Mirando Transporte Rodoviário e Logística

Author Photo
Ruslan Mikhalov Chief of Threat Research at SOC Prime linkedin icon Follow
Acesso Remoto, Carga Real: Cibercriminosos Mirando Transporte Rodoviário e Logística
shield icon

Detection stack

  • AIDR
  • Alert
  • ETL
  • Query


Transformação Digital do Roubo de Cargas

Grupos de cibercriminosos estão comprometendo empresas de transporte e logística usando ferramentas de monitoramento e gerenciamento remoto (RMM) para obter controle dos sistemas, e então usam esse acesso para postar cargas falsas, dar lances em embarques e roubar carga física para ganho financeiro.

Investigação

O cluster de ameaça está ativo desde pelo menos junho de 2025 e usa produtos RMM como ScreenConnect, SimpleHelp, PDQ Connect, Fleetdeck, N‑able e LogMeIn Resolve. Após o acesso inicial via contas comprometidas de quadros de carga ou e-mails de phishing, os agentes executam reconhecimento de rede e implantam coletores de credenciais como WebBrowserPassView. Eles então exploram os fluxos de trabalho da indústria para postar cargas fraudulentas e coordenar o roubo. A campanha utiliza instaladores RMM legítimos assinados para evitar a detecção e foi vinculada a atividades anteriores que distribuem NetSupport e outros coletores.

Mitigação

As organizações devem restringir a instalação de software RMM não aprovado, implementar regras de detecção de rede para domínios e assinaturas RMM conhecidas, bloquear arquivos executáveis e MSI entregues por e-mail de remetentes externos, impor a autenticação multifator para contas de quadros de carga e e-mail, e fornecer treinamento aos usuários para reconhecer tentativas de phishing.

Resposta

Se for detectado um comprometimento, isolar os endpoints afetados, revogar as credenciais comprometidas, remover agentes RMM não autorizados, conduzir análises forenses para identificar infraestrutura C2 e notificar autoridades policiais e provedores de seguro. Rever e reforçar a segurança da conta de quadros de carga e monitorar postagens de cargas fraudulentas.

graph TB %% Class definitions classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 %% Nodes action_phishing[“<b>Ação</b> – <b>T1204.004 Execução pelo Usuário: Arquivo Malicioso</b><br/>E-mail de phishing contendo anexo malicioso enviado às vítimas”] class action_phishing action action_execute_payload[“<b>Ação</b> – <b>T1218.007 Execução por Proxy de Binário Assinado: Msiexec</b><br/>Execução de payload malicioso .exe ou .msi usando utilitários do sistema”] class action_execute_payload action action_install_rat[“<b>Ação</b> – <b>T1219 Ferramentas de Acesso Remoto</b><br/>Instala ferramenta de acesso remoto no host comprometido”] class action_install_rat action malware_rat[“<b>Malware</b> – <b>Nome</b>: Ferramenta de Acesso Remoto<br/><b>Descrição</b>: Permite controle remoto persistente”] class malware_rat malware action_c2[“<b>Ação</b> – <b>T1104 Comando e Controle</b><br/>Estabelece canal C2 para receber instruções”] class action_c2 action action_recon[“<b>Ação</b> – Reconhecimento<br/><b>T1082 Descoberta de Informações do Sistema</b>, <b>T1592.002 Identificação de Software</b>, <b>T1590.004 Descoberta da Topologia de Rede</b><br/>Coleta detalhes do sistema, software e rede”] class action_recon action action_credential_dump[“<b>Ação</b> – <b>T1555.003 Credenciais em Arquivos: Navegadores Web</b><br/>Extrai credenciais web armazenadas usando WebBrowserPassView”] class action_credential_dump action tool_webbrowserpassview[“<b>Ferramenta</b> – <b>Nome</b>: WebBrowserPassView<br/><b>Descrição</b>: Recupera senhas salvas em navegadores”] class tool_webbrowserpassview tool action_valid_accounts[“<b>Ação</b> – <b>T1078 Contas Válidas</b><br/>Utiliza credenciais coletadas para autenticação”] class action_valid_accounts action action_lateral_movement[“<b>Ação</b> – <b>T1021.006 Serviços Remotos: WinRM</b><br/>Movimento lateral usando o Windows Remote Management”] class action_lateral_movement action %% Connections action_phishing u002du002d>|leva a| action_execute_payload action_execute_payload u002du002d>|executa| action_install_rat action_install_rat u002du002d>|instala| malware_rat malware_rat u002du002d>|comunica-se com| action_c2 action_c2 u002du002d>|habilita| action_recon action_recon u002du002d>|fornece dados para| action_credential_dump action_credential_dump u002du002d>|usa| tool_webbrowserpassview action_credential_dump u002du002d>|leva a| action_valid_accounts action_valid_accounts u002du002d>|habilita| action_lateral_movement

Fluxo do Ataque

Instruções de Simulação

Execução de Simulação

Pré-requisito: A Verificação de Pré-Voo de Telemetria & Padrão deve ter sido aprovada.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visar gerar exatamente a telemetria esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a um diagnóstico incorreto.

  • Narrativa de Ataque & Comandos:
    Um adversário comprometeu a conta de e-mail de um gerente sênior de logística (“carla@logistics.com”). Para maximizar o sucesso da entrega, o atacante responde a um tópico existente sobre uma remessa recente (“confirmação de carga”) e insere um link malicioso que aponta para um instalador executável de uma ferramenta de Monitoramento e Gerenciamento Remoto (RMM). O assunto contém deliberadamente a palavra “carga” para satisfazer o filtro de assunto da regra. Quando o destinatário clica no link, os logs de conexão de rede mostrarão uma solicitação HTTP de saída para um domínio malicioso servindo um .exe e .msi payload.

    1. Compor e-mail malicioso (o assunto inclui “carga”, o corpo contém as strings “.exe” e “.msi”).
    2. Enviar via a conta comprometida.
    3. Opcionalmente, simular o clique invocando Invoke-WebRequest da máquina da vítima para gerar a telemetria de conexão de rede.

  • Script de Teste de Regressão:

    <# 
Script de simulação para T1219 / T1566.001.
Passos:
  1. Enviar e-mail malicioso com as strings necessárias.
  2. (Opcional) Simular um clique para gerar tráfego de rede.
#>

# ==== 1. Enviar e-mail malicioso ====
$smtpServer = "smtp.mycompany.com"
$from       = "carla@logistics.com"
$to         = "dave@logistics.com"
$subject    = "Confirmação de Carga – Ação Requerida"
$body       = @"
Oi Dave,

Por favor, revise os detalhes atualizados da carga e baixe a última ferramenta de processamento:

Junte-se à plataforma Detection as Code da SOC Prime para melhorar a visibilidade das ameaças mais relevantes para o seu negócio. Para ajudá-lo a começar e obter valor imediato, agende uma reunião agora com os especialistas da SOC Prime.

Junte-se Gratuitamente