ScreenConnect e AsyncRAT: A Verdade Que as Empresas Não Contam

Quando uma ferramenta legítima de acesso remoto se transforma em porta de entrada para um trojan perigoso, a primeira pergunta que devemos fazer não é "como isso aconteceu?", mas sim "por que as empresas continuam subestimando os riscos ocultos?". A recente campanha massiva descoberta pela Kaspersky, detalhada em The SOC Files: ScreenConnect masked as freeware, expõe uma realidade incômoda: softwares confiáveis estão sendo usados como cavalos de Troia, e as vítimas só descobrem o estrago quando seus dados já foram comprometidos.

O modus operandi é tão engenhoso quanto perturbador. Sites falsos, meticulosamente criados para imitar páginas oficiais de aplicativos populares como OBS Studio e Bandicam, distribuem instaladores aparentemente inofensivos. Mas, ao executar o arquivo, o usuário está na verdade liberando o ScreenConnect – uma ferramenta de administração remota – e, em sequência, o AsyncRAT, um trojan capaz de roubar senhas, gravar teclas e controlar o sistema inteiro. A Kaspersky identificou mais de 90 domínios fraudulentos localizados em 10 idiomas, mostrando que a ameaça é global e altamente direcionada.

O Jogo Sujo por Trás do Software "Gratuito"

O que torna essa campanha particularmente traiçoeira é o abuso de confiança. O ScreenConnect não é um malware comum; ele é assinado digitalmente, permitido em políticas corporativas e amplamente utilizado por equipes de TI. Ao embuti-lo em instaladores de programas populares, os criminosos eliminam suspeitas iniciais. A vítima acredita estar baixando um software legítimo de um site confiável – mas, nos bastidores, uma biblioteca maliciosa (install.res.1033.dll) é carregada via DLL sideloading, uma técnica que explora a forma como o Windows busca bibliotecas. A partir daí, o controle remoto é estabelecido, e scripts PowerShell e VBScript desabilitam defesas, criam exclusões no Microsoft Defender e preparam o terreno para o AsyncRAT.

É aqui que a narrativa oficial das empresas de software falha. Elas nos dizem para "baixar apenas de fontes oficiais", mas como o usuário médio pode distinguir um site falso de um verdadeiro quando a diferença é um caractere no domínio? A campanha explorou exatamente essa fragilidade, usando domínios typosquatted como studioobs[.]com em vez de obsproject.com. A responsabilidade não pode recair apenas sobre o usuário; as empresas precisam ser mais proativas em derrubar esses domínios fraudulentos e educar sobre os riscos de phishing (e-mails e sites falsos).

Phishing Além do E-mail: O Perigo dos Sites Falsos

Quando falamos em phishing, a imagem mental é de um e-mail mal escrito pedindo senhas. Mas a campanha do ScreenConnect mostra que o phishing evoluiu para algo muito mais sofisticado: sites completos, ranqueados em buscadores, que entregam malware disfarçado de software útil. Os criminosos investem em design profissional, SEO e até mesmo anúncios pagos para atrair vítimas. Isso significa que mesmo uma busca cuidadosa no Google pode levar a resultados perigosos. A recomendação de "verificar o cadeado no navegador" já não basta – os sites falsos também usam HTTPS. O verdadeiro desafio é a responsabilização das plataformas de busca e das empresas cujas marcas são usurpadas.

Em um cenário onde a identidade digital está cada vez mais exposta, é alarmante ver como ferramentas de acesso remoto podem ser armas de vigilância em massa. O AsyncRAT, uma vez instalado, dá ao invasor controle total: ele pode acessar a webcam, roubar arquivos, registrar tudo o que é digitado. E o pior: a vítima pode não perceber nada de anormal, pois o software legítimo (como o OBS Studio) é instalado junto, mascarando a atividade maliciosa.

Infraestrutura Criminosa e a Falta de Transparência

A investigação da Kaspersky revelou uma infraestrutura de comando e controle (C2) complexa, com servidores interconectados e domínios registrados estrategicamente. Os atacantes usaram clusters de IPs para hospedar os sites falsos e gerenciar as infecções, demonstrando um nível de organização que contrasta com a postura passiva de muitas empresas afetadas. Onde estão os comunicados oficiais alertando sobre esses domínios? Por que as empresas de software não monitoram ativamente por typosquatting e não alertam seus usuários?

A resposta, infelizmente, é que a transparência não é conveniente. Admitir que sua marca está sendo usada para distribuir malware pode arranhar a reputação, mas o silêncio coloca milhões de usuários em risco. Essa omissão é um risco oculto que raramente é discutido. Enquanto isso, os criminosos continuam inovando: na campanha, o AsyncRAT era entregue via process hollowing, injetando código malicioso em um processo legítimo do Windows (RegAsm.exe) para evitar detecção.

Leia também: Gold Eagle: o que a IA dos EUA não conta sobre vazamentos. Assim como na campanha do ScreenConnect, os riscos ocultos estão na falta de clareza sobre como nossos dados são protegidos – ou não.

O Impacto Real: De Indivíduos a Organizações

As vítimas não são apenas usuários domésticos desavisados. Empresas também foram comprometidas, pois o ScreenConnect é uma ferramenta comum em ambientes corporativos. Uma vez dentro da rede, o invasor pode se mover lateralmente, acessar servidores e roubar dados confidenciais. O fato de o malware criar exclusões no Microsoft Defender e desabilitar o UAC mostra um conhecimento profundo de defesas corporativas. A pergunta que fica é: quantas organizações ainda não detectaram a infecção?

A persistência era garantida por uma tarefa agendada que executava scripts maliciosos a cada dois minutos. Mesmo após uma reinicialização, o AsyncRAT continuava ativo, silenciosamente exfiltrando dados para domínios como mora1987[.]work[.]gd. Esse nível de resiliência é assustador e reforça a necessidade de monitoramento contínuo de identidade digital.

Outro ponto crítico é a conexão com dispositivos de rede. Roteadores vulneráveis são frequentemente usados como trampolins para ataques maiores. Roteadores Vulneráveis explica como falhas nesses dispositivos podem expor toda a sua rede. Na campanha do ScreenConnect, um roteador comprometido poderia facilitar a comunicação com os servidores C2, tornando a detecção ainda mais difícil.

O Que Fazer Diante da Ameaça Invisível

Não podemos confiar cegamente em softwares, mesmo que sejam assinados. A verificação em duas etapas é essencial: confira o domínio do site, pesquise a reputação do arquivo em serviços como o VirusTotal e, principalmente, monitore proativamente se seus dados já vazaram. Ferramentas de monitoramento de vazamentos são a única maneira de saber se suas credenciais estão circulando na dark web – muitas vezes, a primeira pista de que você foi vítima de uma campanha como essa.

As empresas de software precisam ir além do discurso de "baixe apenas do site oficial". Elas devem implementar mecanismos de verificação de integridade em seus instaladores, monitorar domínios fraudulentos e notificar ativamente os usuários sobre riscos. A responsabilização é o único caminho para reduzir a incidência desses ataques.

Enquanto isso, o usuário final não está indefeso. Desconfie de ofertas boas demais, verifique a URL letra por letra e evite baixar software de links patrocinados em buscadores. Mas, acima de tudo, assuma que seus dados podem já estar comprometidos. A campanha do ScreenConnect é um lembrete brutal de que a privacidade digital é uma ilusão se não for ativamente defendida.

Na Kzarka, acreditamos que a transparência e o monitoramento contínuo são as melhores armas contra o roubo de identidade. Verifique agora se seus dados vazaram e comece a monitorar sua identidade digital antes que seja tarde. Porque, no fim das contas, a pergunta não é se você será vítima de um vazamento, mas quando – e se estará preparado.