Cibercriminosos de ransomware visam software de monitorização de funcionários para aceder a computadores

Resumo

• Ferramentas de software de monitorização no local de trabalho estão a ser alvo de hackers de ransomware, segundo a empresa de cibersegurança Huntress.
• Um novo relatório revelou que atores de ameaça combinaram software de monitorização de funcionários com ferramentas de gestão remota para obter persistência nos sistemas das empresas.
• O uso generalizado de ‘bossware’ expandiu a superfície de ataque potencial para as empresas.

Uma ferramenta popular de monitorização de força de trabalho está a ser alvo de hackers e a ser utilizada como ponto de apoio para ataques de ransomware, de acordo com um novo relatório da empresa de cibersegurança Huntress. No final de janeiro e início de fevereiro de 2026, a equipa de Resposta Tática da Huntress investigou duas invasões em que os atacantes combinaram o Net Monitor for Employees Professional com o SimpleHelp, uma ferramenta de acesso remoto utilizada pelos departamentos de TI.

TL;DR 📌 Os cibercriminosos transformaram o software de monitorização de funcionários numa RAT, emparelhá-lo com o SimpleHelp, caçaram criptomoedas e tentaram lançar o ransomware Crazy.

Os responsáveis éticos por este artigo: @RussianPanda9xx, @sudo_Rem, @Purp1eW0lf, + @Antonlovesdnbhttps://t.co/3c6qbD7l3g

— Huntress (@HuntressLabs) 13 de fevereiro de 2026

De acordo com o relatório, os hackers usaram o software de monitorização de funcionários para entrar nos sistemas das empresas e o SimpleHelp para garantir que podiam permanecer lá, mesmo que um ponto de acesso fosse desativado. A atividade acabou por levar a uma tentativa de implantação do ransomware Crazy. “Estes casos destacam uma tendência crescente de atores de ameaça que aproveitam software legítimo, comercialmente disponível, para se camuflar em ambientes empresariais,” escreveram os investigadores da Huntress. “O Net Monitor for Employees Professional, embora seja comercializado como uma ferramenta de monitorização de força de trabalho, oferece capacidades que rivalizam com os trojans de acesso remoto tradicionais: conexões reversas por portas comuns, disfarce de nomes de processos e serviços, execução de shell integrada e a capacidade de implementar silenciosamente via mecanismos padrão de instalação do Windows. Quando combinado com o SimpleHelp como um canal de acesso secundário… o resultado é uma pegada resiliente de dupla ferramenta que é difícil de distinguir de software administrativo legítimo.” A empresa acrescentou que, embora as ferramentas possam ser inovadoras, a causa raiz continua a ser perímetros expostos e higiene de identidade fraca, incluindo contas VPN comprometidas. A ascensão do “bossware” O uso do chamado “bossware” varia globalmente, mas é amplamente difundido. Cerca de um terço das empresas no Reino Unido usam software de monitorização de funcionários, segundo um relatório do ano passado, enquanto nos EUA a estimativa é de aproximadamente 60%.

O software é normalmente utilizado para acompanhar a produtividade, registar atividades e capturar capturas de tela das telas dos trabalhadores. Mas o seu uso é controverso, assim como as alegações sobre se realmente mede a produtividade dos funcionários ou se avalia com base em critérios arbitrários, como cliques do rato ou emails enviados. No entanto, a sua popularidade torna estas ferramentas um vetor atrativo para os atacantes. O Net Monitor for Employees Professional, desenvolvido pela NetworkLookout, é comercializado para monitorização de produtividade de funcionários, mas oferece capacidades além da monitorização passiva de telas, incluindo conexões de shell reverso, controlo remoto de desktop, gestão de ficheiros e a capacidade de personalizar nomes de serviços e processos durante a instalação.  Essas funcionalidades, desenhadas para uso administrativo legítimo, podem permitir que atores de ameaça se camuflem em ambientes empresariais sem a necessidade de deploy de malware tradicional. No primeiro caso detalhado pela Huntress, os investigadores foram alertados por manipulação suspeita de contas numa máquina, incluindo tentativas de desativar a conta Guest do sistema e ativar a conta Administrador integrada. Foram executados múltiplos comandos “net” para enumerar utilizadores, redefinir passwords e criar contas adicionais. Os analistas rastrearam a atividade até a um binário ligado ao Net Monitor for Employees, que tinha criado uma aplicação de pseudo-terminal permitindo a execução de comandos. A ferramenta descarregou um binário do SimpleHelp de um endereço IP externo, após o qual o atacante tentou manipular o Windows Defender e implantar várias versões do Crazy ransomware, parte da família VoidCrypt. Na segunda intrusão, observada no início de fevereiro, os atacantes entraram através de uma conta VPN SSL comprometida de um fornecedor e conectaram-se via Protocolo de Área de Trabalho Remota a um controlador de domínio. De lá, instalaram o agente do Net Monitor diretamente do site do fornecedor. Os atacantes personalizaram nomes de serviços e processos para imitar componentes legítimos do Windows, disfarçando o serviço como relacionado ao OneDrive e renomeando o processo em execução. Depois, instalaram o SimpleHelp como um canal persistente adicional e configuraram gatilhos de monitorização baseados em palavras-chave direcionados a carteiras de criptomoedas, trocas e plataformas de pagamento, bem como outras ferramentas de acesso remoto. A Huntress afirmou que a atividade mostrou sinais claros de motivação financeira e de evasão deliberada de defesa.

A Network LookOut, a empresa por trás do Net Monitor for Employee, disse ao Decrypt que o agente só pode ser instalado por um utilizador que já tenha privilégios administrativos no computador onde o agente será instalado. “Sem privilégios administrativos, a instalação não é possível,” afirmou por email. “Portanto, se não desejar que o nosso software seja instalado num computador, assegure-se de que o acesso administrativo não é concedido a utilizadores não autorizados, pois o acesso administrativo permite a instalação de qualquer software.” Não é a primeira vez que hackers tentam implantar ransomware ou roubar informações através de bossware. Em abril de 2025, investigadores revelaram que o WorkComposer, uma aplicação de vigilância no local de trabalho usada por mais de 200.000 pessoas, tinha exposto mais de 21 milhões de capturas de tela em tempo real numa nuvem não segura, potencialmente vazando dados sensíveis de negócios, credenciais e comunicações internas.