O Google identificou uma nova campanha de malware que invade caixas de entrada com milhares de e-mails in\u00fateis para induzir a v\u00edtima a abrir uma p\u00e1gina maliciosa. A t\u00e1tica envolve se passar pelo suporte de TI e oferecer uma solu\u00e7\u00e3o que instala o malware no dispositivo.<\/p>\n
O grupo identificado \u00e9 o UNC6692, segundo a Mandiant, unidade do Google dedicada a Amea\u00e7as. A campanha est\u00e1 em curso desde pelo menos meados de dezembro de 2025, e utiliza a t\u00e9cnica de email bombing para criar sensa\u00e7\u00e3o de urg\u00eancia, seguida de uma mensagem pelo Microsoft Teams com a falsa solu\u00e7\u00e3o.<\/p>\n
O ataque funciona assim: a mensagem no Teams cont\u00e9m link para uma p\u00e1gina disfar\u00e7ada de ferramenta de reparo. Ao abrir, o navegador baixa um bin\u00e1rio AutoHotKey e um script, que executa automaticamente e instala a extens\u00e3o SNOWBELT no navegador Chromium. Em seguida, s\u00e3o criadas tarefas agendadas para manter o malware ativo e persistente.<\/p>\n
Com SNOWBELT, o grupo baixa componentes adicionais, incluindo os scripts SNOWGLAZE e SNOWBASIN, que funcionam como backdoors e facilitam acesso remoto. O conjunto permite enviar comandos, capturar telas e preparar exfiltra\u00e7\u00e3o de dados, al\u00e9m de mapear outros dispositivos na rede vulner\u00e1vel.<\/p>\n
O Google n\u00e3o informou o perfil t\u00edpico das v\u00edtimas, mas destacou a versatilidade da campanha, combinando engenharia social, malwares sob medida e extens\u00f5es de navegador para aumentar as chances de sucesso e de manter o acesso.<\/p>\n","protected":false},"excerpt":{"rendered":"