Criminosos ligados ao crime organizado invadiram plataformas de log\u00edstica para roubar cargas f\u00edsicas e direcionar pagamentos. Pesquisadores da Proofpoint identificaram ataques coordenados contra transportadoras e empresas de log\u00edstica nos Estados Unidos, com objetivo de desviar cargas e interceptar transfer\u00eancias financeiras. O estudo aponta que as opera\u00e7\u00f5es contam com infiltra\u00e7\u00e3o via engenharia social e uso de ferramentas de acesso remoto.<\/p>\n
O vetor inicial envolveu comprometimento de uma plataforma de licita\u00e7\u00f5es de fretes, os chamados load boards. Em seguida, os atacantes enviaram mensagens por e-mail a transportadoras oferecendo trabalhos de transporte falsos. O conte\u00fado inclu\u00eda um arquivo VBS malicioso que, ao ser executado, disparava uma cadeia PowerShell, instalava o ScreenConnect e apresentava um contrato fraudulento para mascarar a intrus\u00e3o.<\/p>\n
A opera\u00e7\u00e3o ficou sob observa\u00e7\u00e3o em fevereiro de 2026, quando os invasores comprometeram um ambiente de isca controlado pela parceira Deception.pro. O ambiente permaneceu vulner\u00e1vel por mais de um m\u00eas, permitindo aos investigadores acompanhar as ferramentas, a cadeia de decis\u00f5es e o comportamento p\u00f3s acesso dos invasores.<\/p>\n
Ap\u00f3s obter acesso inicial, o grupo priorizou a persist\u00eancia. Ao longo de um m\u00eas, foram instaladas v\u00e1rias inst\u00e2ncias do ScreenConnect, al\u00e9m de Pulseway e SimpleHelp, com o objetivo de manter controle mesmo que uma ferramenta fosse detectada e removida.<\/p>\n
Os criminosos utilizaram o mecanismo de signing-as-a-service. Eles executaram uma cadeia PowerShell para baixar o instalador do ScreenConnect, re-assinar o execut\u00e1vel com um certificado fraudulento, e instalar o software de forma silenciosa. A estrat\u00e9gia contornava certificados revogados e conferia apar\u00eancia de legitimidade aos componentes usados.<\/p>\n
Com acesso est\u00e1vel, a etapa seguinte envolveu reconhecimento e coleta de dados. Verifica\u00e7\u00f5es manuais foram realizadas em contas como PayPal, e uma ferramenta personalizada localizou informa\u00e7\u00f5es de carteiras digitais, com envio dos resultados via Telegram.<\/p>\n
Mais de uma d\u00fazia de scripts PowerShell foram empregados para mapear as v\u00edtimas, incluindo hist\u00f3rico de navega\u00e7\u00e3o, dados de usu\u00e1rio e ind\u00edcios de acesso a plataformas banc\u00e1rias, de pagamento, log\u00edstica e contabilidade. Os scripts copiavam arquivos bloqueados, armazenavam dados em pastas ocultas e operavam com privil\u00e9gios SYSTEM.<\/p>\n
As plataformas-alvo inclu\u00edam bancos, servi\u00e7os de transfer\u00eancia financeira, sistemas de pagamento de frotas e plataformas de frete. O Telegram era usado como canal de exfiltra\u00e7\u00e3o de dados e de envio de credenciais e resultados de scripts em tempo real.<\/p>\n
Segundo a Proofpoint, o grupo atua desde junho de 2025 e coopera com o crime organizado para desviar cargas, com \u00eanfase em alimentos e bebidas. As perdas reportadas na Am\u00e9rica do Norte chegaram a 6,6 bilh\u00f5es de d\u00f3lares em 2025, em golpes envolvendo ferramentas de monitoramento remoto.<\/p>\n
O relat\u00f3rio ressalta a necessidade de monitorar uso n\u00e3o autorizado de ferramentas de gerenciamento remoto, atividade suspeita em PowerShell e telemetria an\u00f4mala de navegadores associada ao acesso a plataformas financeiras. Especialistas recomendam refor\u00e7ar controles de seguran\u00e7a e auditoria de credenciais em plataformas de frete e pagamentos.<\/p>\n","protected":false},"excerpt":{"rendered":"