Novos kits de phishing exploram Microsoft 365 e contornam MFA em minutos

Os atacantes aprenderam a falar a língua da Microsoft melhor do que muita equipa de IT. Dois novos kits de phishing, Jalisco e OmegaLord, estão a ser usados contra contas Microsoft 365 e conseguem contornar a autenticação multifator (MFA) com uma facilidade desconfortável.

O Jalisco aposta no truque do device code, um fluxo do OAuth 2.0 chamado Device Authorization Grant que a própria Microsoft promove para autenticar dispositivos como consolas ou smart TVs sem teclado. O truque é simples e perverso: o atacante inicia um login num serviço Microsoft, recebe um código de dispositivo legítimo e depois, com engenharia social, convence a vítima a ir à página oficial da Microsoft e a inserir esse código. A sessão que fica autorizada não é a do utilizador, é a do dispositivo controlado pelo atacante. Nem precisa de saber a palavra-passe.

Segundo a ReliaQuest, o kit Jalisco automatiza tudo isto. Gera códigos de dispositivo frescos sempre que alguém abre a página de phishing e faz a ponte em tempo real com a infraestrutura da Microsoft. Assim contorna a janela de validade de 15 minutos que a Microsoft criou precisamente para dificultar este tipo de abuso. Depois ainda oferece um portal web para o operador gerir sessões capturadas, ver que contas foram comprometidas e que dispositivos foram registados. Em alguns casos já se viram cinco dispositivos maliciosos pendurados numa única conta, com nomes a cheirar a legitimidade, cheios de “Microsoft” e “Windows” para passar despercebidos.

A seguir, o filme é rápido. Uma vez lá dentro, os atacantes vasculham SharePoint e outros serviços SaaS, sacam ficheiros com dados pessoais, financeiros ou internos e em seis minutos conseguem, em muitos casos, exfiltrar o que interessa. Depois vem o clássico e-mail de extorsão: pagas ou publicamos. Para quem tem a empresa dependente de Microsoft 365, isto é o equivalente digital de deixar a porta do servidor de ficheiros encostada.

O OmegaLord joga num campo mais tradicional, mas com um detalhe relevante para quem acha que MFA por SMS chega. É um kit de phishing com uma falsa página de login de “PDF Reader” que recolhe endereços de e‑mail, palavras-passe e, de forma explícita, números de telemóvel. A mensagem é clara: os atacantes querem tudo o que lhes permita interceptar ou sequestrar códigos de MFA, seja via SMS, chamada automática ou apps de autenticação associadas ao número. Não é por acaso que os investigadores o apontam como mais um exemplo de como estão a ser desenhados ataques a contornar diretamente a MFA como controlo.

Do lado da defesa, as recomendações são menos glamorosas que uma keynote, mas fazem mais diferença do que muita nova funcionalidade que a Microsoft empurra para o cloud. Reduzir no Entra ID o limite de registo de dispositivos dos 50 por defeito para um ou dois. Bloquear autenticação por device code nas políticas de Conditional Access. Restringir o Device Authorization Grant em soluções como Okta. Auditar e remover registos de aplicações que ninguém usa. E, já agora, deixar de tratar avisos de novos dispositivos registados na conta como ruído. A mesma Microsoft que gosta de falar em IA e produtividade não te vai segurar a mão quando um kit como o Jalisco entra na tua organização. Isso continua a ser trabalho teu.

Fonte: BleepingComputer