200 certificados revogados e a cadeia de confiança sob ataque: lições para o seu pipeline
Quando clicamos em instalar um software corporativo, confiamos em uma cadeia invisível de validações que vai desde a origem do arquivo até a assinatura digital no executável. Essa confiança foi quebrada em outubro de 2025, quando a Microsoft revogou mais de 200 certificados de assinatura digital utilizados em uma campanha de malware que distribuía falsos instaladores do Teams. A operação expôs como adversários conseguem vestir terno e gravata: exploram a confiança em certificados legítimos, passam pelo crivo de soluções de segurança e entregam ransomware. O episódio não é um caso isolado, na verdade, é um alerta sobre a fragilidade da cadeia de confiança e sobre a necessidade de controlar melhor os segredos e chaves no seu pipeline de software. À medida que os ataques evoluem, a confiança em assinaturas digitais sem validações adicionais se torna um ponto fraco. E neste artigo vamos entender como o sequestro de certificados digitais compromete a cadeia de confiança, porque isso importa para sua empresa e que práticas podem blindar seus processos. Acompanhe até o final para ver como a Asper pode ajudar a monitorar, detectar e responder a ataques que exploram assinaturas legítimas. Ouça O que aconteceu? A campanha do Vanilla Tempest Em meados de outubro de 2025, o grupo Vanilla Tempest (também conhecido como Vice Society) explorou uma campanha de malvertising para distribuir instaladores falsos do Microsoft Teams. De acordo com o portal TecMundo, a Microsoft confirmou ter revogado mais de 200 certificados digitais usados para autenticar uma versão falsa do Teams. O Vanilla Tempest, grupo responsável pelos ataques, utilizou domínios que imitavam o Teams, para distribuir arquivos MSTeamsSetup.exe falsos que infectam as vítimas com o backdoor Oyster (também conhecido como Broomstick e CleanUpLoader). Falso site de download do Microsoft A medida interrompeu a campanha do grupo, que utilizava esses certificados para assinar arquivos MSTeamsSetup.exe hospedados em domínios falsos, como teams-download[.]buzz e teams-install[.]run. As vítimas eram direcionadas a esses sites por meio de técnicas de SEO poisoning, manipulação de resultados em mecanismos de busca que dão destaque a páginas fraudulentas. Segundo a investigação, ao executar o instalador falso o usuário iniciava a instalação de um loader que implantava o backdoor Oyster com a assinatura fraudulenta. Esse backdoor, distribuído desde junho de 2025, abria caminho para a instalação do ransomware Rhysida. Ransomware Rhysida visam alvos de oportunidade nos setores de educação, saúde, manufatura, TI e governo. Evidências indicam semelhanças entre as atividades da Vice Society e os atores associados ao ransomware Rhysida. Relatos também confirmam casos de operação da Rhysida como um serviço (RaaS), onde ferramentas e infraestrutura são alugadas, com os resgates divididos entre o grupo e afiliados. Os atores da Rhysida foram detectados utilizando serviços remotos externos, como VPNs, para entrar e persistir em redes corporativas. Eles frequentemente autenticam-se em pontos de acesso VPN internos com credenciais comprometidas, aproveitando organizações sem MFA habilitado por padrão. Além disso, exploram a vulnerabilidade Zerologon (CVE-2020-1472) da Microsoft para elevação de privilégios e realizam tentativas bem-sucedidas de phishing. A Microsoft lançou um patch para CVE-2020-1472. Relatórios da BleepingComputer corroboram que a revogação de mais de 200 certificados pela Microsoft interrompeu uma onda de ataques de ransomware Rhysida. O portal reforça que os domínios falsos imitavam o portal de download oficial do Teams e exibiam um botão de “download” que baixava um arquivo com o mesmo nome do instalador legítimo; ao ser executado, o loader implantava o backdoor e permitia a execução de comandos remotos, exfiltração de arquivos e instalação de cargas adicionais. Essa campanha foi possível porque os operadores conseguiram adquirir ou sequestrar certificados de assinatura digital válidos. Outros grandes portais de cibersegurança que a Microsoft identificou que mais de 200 certificados foram utilizados para assinar binários maliciosos, que passavam por instaladores falsos do Teams. Esses certificados, emitidos por provedores legítimos de assinatura de código, foram usados para assinar não apenas o instalador falso, mas também ferramentas pós‑compromisso. A mesma reportagem explica que os arquivos maliciosos estavam hospedados em domínios como teams-download[.]buzz, teams-install[.]run e teams-download[.]top, e que os utilizadores eram direcionados por meio de SEO poisoning. Em outras palavras: ao buscar “Teams download” em um mecanismo de busca, a vítima era atraída para um site que parecia oficial e oferecia um instalador com assinatura válida. Como a cadeia de confiança foi sequestrada? O modelo tradicional de cadeia de confiança se baseia em alguns pilares: Esse modelo funciona bem quando a assinatura pertence ao desenvolvedor legítimo e a cadeia de certificados não foi comprometida. No episódio de outubro, porém, os operadores do Vanilla Tempest subverteram esse processo, eles obtiveram certificados válidos, alguns emitidos por serviços de code signing comerciais, e os utilizaram para assinar malwares. Como a assinatura era válida, muitos controles de segurança reduziram o nível de triagem, permitindo a execução do instalador. Segundo a análises, os operadores utilizaram serviços de assinatura de código e certificados emitidos por diferentes autoridades para assinar os instaladores falsos e ferramentas pós‑compromisso. Essa pulverização de certificados explica o grande número de revogações: mais de 200 chaves tiveram de ser invalidadas para neutralizar a ameaça. Além disso, a campanha combinou a distribuição do backdoor Oyster com malvertising: anúncios comprados em mecanismos de busca direcionavam usuários para domínios falsos. Essa combinação permitiu contornar políticas de segurança que bloqueiam downloads desconhecidos, pois os arquivos estavam assinados e hospedados em páginas aparentemente legítimas. O uso de certificados legítimos por criminosos não é novo, mas o volume e a coordenação desta campanha são um sinal de alerta. Ransomware‑as‑a‑Service e grupos de initial access brokers vêm investindo em técnicas que aumentam a eficácia de engenharia social e reduzem a detecção. Quando a assinatura digital ( o selo de “legitimidade”) é sequestrada, o atacante veste terno e gravata: parece confiável e passa pelo crivo das defesas tradicionais. Por que isso importa para a sua empresa? 1. Dependência excessiva da assinatura digital Muitas empresas confiam no code signing como principal indicador de integridade. Sistemas de controle de aplicações, soluções de proteção de endpoint e até processos manuais de aprovação se baseiam no simples fato de que um
