Microsoft detecta phishing que instala MSP360 e abre segundo acesso remoto com ScreenConnect
Golpe distribui instalador legítimo e assinado do MSP360 disfarçado de convite de reunião e cria dois canais de controle remoto no computador da vítima.
A Microsoft identificou em julho de 2026 uma campanha de phishing que engana usuários para instalar uma ferramenta de administração remota legítima e, a partir dela, monta um segundo canal de acesso ao computador invadido.
O golpe usa um instalador verdadeiro e assinado do MSP360 RMM, versão v2.5.0.67, disfarçado de convite de reunião, atualização de software e outras iscas de engenharia social. Depois de ativo, esse programa baixa e instala o ConnectWise ScreenConnect, dando aos atacantes dois caminhos de controle remoto sobre o mesmo aparelho.
Por que isso importa para quem está no Brasil
Ferramentas de RMM (sigla em inglês para monitoramento e gerenciamento remoto) são usadas no dia a dia por prestadoras de suporte técnico e empresas de TI no país, inclusive no atendimento a pequenas e médias empresas. MSP360 e ScreenConnect estão nesse grupo.
O risco é que a campanha não depende de um alvo específico. As iscas são genéricas: convites de reunião, supostas atualizações do Adobe Reader, cartões virtuais e notificações que imitam órgãos públicos. Uma das iscas identificadas usava o nome de uma agência americana, a SSA.GOV, mas o formato pode ser adaptado para qualquer público.
Os arquivos maliciosos também foram hospedados em serviços de nuvem populares e confiáveis, o que ajuda a driblar a desconfiança do usuário. Entre eles:
- Amazon S3
- Cloudflare R2
- Dropbox
- GitLab
- Supabase
Como esses endereços são legítimos, um link vindo deles não levanta suspeita imediata. É o mesmo princípio de outros golpes recentes, como a clonagem de conta por meio do código de seis dígitos do WhatsApp: o ataque se apoia em algo que a vítima já reconhece como confiável.
Como o ataque funciona por dentro
O ponto mais delicado é que não há falha de software envolvida. A Microsoft afirma que não houve exploração de vulnerabilidade no ScreenConnect. Os criminosos simplesmente abusam de programas legítimos, de empresa real e com assinatura digital válida.
Por isso, o fato de um arquivo estar assinado por um fornecedor conhecido como o MSP360 não garante que ele seja seguro. A assinatura confirma a origem do programa, não a intenção de quem o enviou.
Depois de instalado, o agente do MSP360 abre uma porta no firewall do Windows para liberar seu próprio tráfego: a porta UDP 48678. Esse detalhe serve de pista para administradores que monitoram a rede.
A Microsoft observou ainda um conjunto separado de ataques, também em julho de 2026, em que o Faronics Deploy Agent foi usado no lugar do MSP360, com a mesma lógica de abuso de ferramenta legítima.
Até o momento, a atividade não foi atribuída a nenhum grupo ou ator de ameaça conhecido.
O que usuários e equipes de TI devem fazer
Para o usuário comum, a regra é desconfiar de qualquer arquivo executável recebido por e-mail, mesmo quando o remetente parece oficial e o programa aparenta ser legítimo.
- Não execute instaladores enviados como convite de reunião, atualização ou notificação de órgão governamental.
- Confirme por outro canal se a mensagem realmente partiu de quem diz ser.
- Lembre que arquivo assinado digitalmente não significa arquivo confiável no contexto errado.
Para equipes de TI, a recomendação é olhar para dentro da própria rede:
- Monitorar instalações não autorizadas de ferramentas de RMM.
- Restringir softwares de administração remota que não estejam na lista de aprovados.
- Investigar a abertura da porta UDP 48678 e a presença inesperada de MSP360 ou ScreenConnect em máquinas que não deveriam tê-los.
Quem administra estações Windows pode ainda reforçar o controle sobre o que roda e o que é acessado nos aparelhos, como mostra o guia sobre bloqueio de acesso a sites e os limites desse filtro no sistema.
Não há número divulgado de quantas organizações ou países foram atingidos, nem confirmação de alvos específicos no Brasil. Ainda assim, o modelo do ataque, baseado em ferramentas comuns e em nuvens populares, mantém o alerta válido para qualquer rede corporativa que use suporte remoto.
