Phishing usando códigos de dispositivo: a nova frente contra o Microsoft 365

PCHardwarePro » Windows » Phishing usando códigos de dispositivo: a nova frente contra o Microsoft 365

El phishing usando códigos de dispositivos Este se tornou um dos ataques mais preocupantes contra empresas que trabalham com o Microsoft 365 e o Entra ID. Não se trata de um e-mail barato comum tentando roubar sua senha, mas de uma técnica muito mais sutil: o invasor se infiltra explorando um fluxo de autenticação legítimo da Microsoft e engana o usuário para que ele autorize a própria sessão.

De acordo com pesquisas recentes Barracuda, Microsoft e ProofpointEsse tipo de ataque está crescendo a uma taxa alarmante, impulsionado pela automação, pelos modelos de phishing como serviço (PhaaS) e pelo uso indevido do OAuth. O resultado é grave: apropriação de contas, exfiltração de e-mails, persistência a longo prazo e movimentação lateral dentro da organização — tudo isso sem a necessidade de roubar senhas tradicionais ou acionar muitos dos alertas usuais.

O que é phishing de código de dispositivo e por que é tão perigoso?

O ponto de partida é o Fluxo de autenticação por código de dispositivoO OAuth é um fluxo perfeitamente legítimo que a Microsoft projetou para dispositivos com recursos limitados: TVs, impressoras, consoles de jogos ou sistemas onde digitar credenciais completas é inconveniente. O processo típico é simples: o dispositivo exibe um código, o usuário acessa um URL da Microsoft em outro computador ou dispositivo móvel, insere o código e autoriza o acesso.

O problema surge quando os atacantes decidem apropriar-se desse mecanismoEm vez de criar um site falso para roubar senhas, eles iniciam o fluxo de autenticação do dispositivo diretamente com a Microsoft, obtêm um código de dispositivo real e, em seguida, enganam a vítima para que o insira na página legítima da Microsoft, acreditando que está verificando sua identidade, assinando um documento ou acessando um recurso importante.

Assim que o usuário concluir o processo, a Microsoft gera o Tokens OAuth válidos (incluindo um token de atualização) e os entrega ao dispositivo que iniciou o fluxo... ou seja, ao atacante. Não há necessidade de interceptar senhas ou quebrar a autenticação multifator (MFA) no sentido tradicional: o que eles conseguem é que o próprio usuário valide a sessão do adversário.

As investigações da Barracuda detectaram mais de quatro semanas de 7 milhões de tentativas de ataque Com base nesse padrão, fica claro que não estamos mais falando de um experimento isolado, mas de uma técnica industrializada, escalável e em rápida expansão contra ambientes de e-mail e identidade na nuvem.

Para piorar a situação, essa tática é especialmente eficaz porque Isso depende de links legítimos. E não requer páginas de login falsas. O e-mail de phishing pode conter um URL real da Microsoft, e o usuário acaba em um site autêntico onde insere o código. Isso dificulta a detecção tanto para os filtros de e-mail quanto para a vítima, que vê um domínio confiável e baixa a guarda.

Mudança de modelo: do roubo de senhas ao abuso de fluxos de confiança.

Durante anos, associamos o phishing à imagem clássica: Página falsa + credenciais roubadasNo phishing de código de dispositivo, a mudança é radical. O atacante não precisa mais copiar o site da Microsoft nem convencê-lo a inserir seu nome de usuário e senha em um formulário clonado. O objetivo é fazer com que você aprove uma sessão iniciada por ele, aproveitando-se de um fluxo de autenticação real.

A Microsoft documentou campanhas em larga escala nas quais os atacantes automatizaram o geração dinâmica de códigos de dispositivosIsso sincroniza o código com os cliques da vítima para manter sua validade. Dessa forma, quando a vítima acessa a página de verificação da Microsoft e insere o código, o token associado ainda é válido e o atacante pode resgatá-lo instantaneamente.

Uma vez dentro do sistema, os agentes maliciosos usaram o Microsoft Graph para realizar reconhecimento da organizaçãoIsso inclui verificar caixas de correio, acessar arquivos no OneDrive ou SharePoint e, muito importante, criar regras maliciosas no Exchange Online para encaminhar, ocultar ou filtrar mensagens. Essas regras de caixa de entrada são um mecanismo de persistência típico em ataques de comprometimento de e-mail corporativo (BEC).

A CISA há muito alerta que nem toda autenticação multifatorial (MFA) é igual e que os métodos tradicionais podem ser vulneráveis ​​a... campanhas de phishing modernasfadiga ou engano. É por isso que insiste em promover a autenticação resistente a phishing, baseada em padrões como FIDO/WebAuthn e chaves de acesso, que reduzem drasticamente o escopo para abuso de credenciais reutilizáveis ​​ou aprovações fraudulentas.

A Proofpoint, por sua vez, enfatiza que essa tendência representa uma marco na evolução do phishingO foco está mudando do roubo direto de senhas para o abuso de fluxos OAuth e processos de autenticação confiáveis, justamente quando as empresas estão migrando para uma autenticação multifator (MFA) mais robusta. Tudo indica que o abuso de fluxos OAuth e de código de dispositivo continuará a crescer em paralelo com essa transição.

Em um cenário típico descrito pela Microsoft e outros fornecedores, o fluxo de ataque segue uma série de etapas bem definidas e em grande parte automatizadas. O perigo reside no fato de que Cada fase se baseia em elementos aparentemente legítimos.Isso faz com que muitos usuários e sistemas baixem a guarda.

1. Seleção e definição de perfis de alvos. O atacante não ataca indiscriminadamente. Normalmente, ele identifica contas com potencial impacto operacional ou financeiro: finanças, compras, gestão, administração de sistemas, etc. Antes de lançar a campanha, ele valida quais contas existem e coleta informações para personalizar a isca (faturas, documentos legais, notificações internas, etc.).

2. Envio da isca de phishing. O primeiro ponto de contato geralmente é um e-mail com um botão, um link de texto ou até mesmo um código QR integrado no corpo do e-mail ou em um PDF anexado. Em alguns casos, os atacantes utilizam IA generativa para criar mensagens altamente elaboradas, com boa redação e tópicos adaptados ao contexto da vítima (documento compartilhado, revisão de contrato, assinatura pendente, notificação da Microsoft, etc.).

3. Redirecionamentos e páginas de transição. Quando a vítima clica, nem sempre é direcionada diretamente para uma página falsa. É comum que o tráfego passe por serviços de nuvem legítimos, domínios com reputação aceitável ou infraestrutura efêmera. desfocar a trilhaO objetivo é chegar a um ponto em que o fluxo de autenticação por código do dispositivo seja ativado sem levantar muitas suspeitas.

4. Geração de código do dispositivo. Nesse momento, a infraestrutura do atacante solicita um da Microsoft. código de dispositivo em tempo realAo contrário do envio de um código pré-gerado (que pode expirar antes que o usuário o utilize), a geração dinâmica sincronizada com o clique do usuário maximiza o período de validade do código e aumenta a taxa de sucesso.

5. Apresentar o código como um OTP (senha de uso único). O usuário vê o código em uma página de destino intermediária, em um segundo e-mail ou até mesmo incorporado em um documento, acompanhado de instruções como "Insira este código como uma senha de uso único para verificar sua conta". Dessa forma, o código do dispositivo é disfarçado como OTP legítimoe a vítima é direcionada para o URL de verificação oficial da Microsoft.

6. Introdução do código na página da Microsoft. Eis o truque psicológico fundamental: o domínio e a página são reais, pertencem à Microsoft, então... percepção de segurança Está no seu nível máximo. Se o usuário já estiver conectado ou concluir o processo com sua autenticação multifator (MFA) usual, ele estará, sem saber, validando a sessão que o invasor abriu em seu sistema. Ele não digita sua senha em nenhum lugar incomum, mas mesmo assim foi enganado.

7. Emissão e persistência de tokens. Após a conclusão da autorização, a Microsoft emite os tokens OAuth correspondentes (token de acesso e token de atualização). O invasor recebe esses tokens em sua infraestrutura e começa a usá-los para Acessar e-mail, arquivos e outros recursos.Graças ao token de atualização, você pode renovar sua sessão mesmo que a senha da sua conta seja alterada, garantindo acesso prolongado sem levantar suspeitas imediatas.

Nos incidentes analisados, observou-se que os atacantes realizaram reconhecimento com o Microsoft Graph, consultaram calendários, obtiveram a lista de contatos e criaram regras de caixa de correio maliciosas Ocultar determinados e-mails, encaminhá-los externamente ou excluir mensagens de alerta. Tudo isso se encaixa perfeitamente em cenários de BEC (Business Email Compromise), fraude financeira e espionagem corporativa.

Uma das razões pelas quais o phishing usando códigos de dispositivos está disparando é a sua industrialização dentro do modelo de phishing como serviço (PhaaS)Você não precisa mais ser um especialista em tecnologia para configurar uma campanha sofisticada: existem kits, serviços e ferramentas que automatizam praticamente todo o processo.

Barracuda menciona plataformas como o kit Fichas do MalProjetados para explorar fluxos OAuth e facilitar a aquisição de tokens de acesso válidos, esses kits normalmente incluem geração automática de código, modelos de e-mail, gerenciamento de infraestrutura e painéis para monitorar vítimas comprometidas.

A Proofpoint, por sua vez, observou o uso de ferramentas como SquarePhish2 e Graphishbem como aplicativos maliciosos à venda em fóruns de hackers que permitem a expansão e a automatização de campanhas de phishing usando códigos de dispositivos. Essas soluções reduzem consideravelmente as barreiras técnicas de entrada: agentes com pouca experiência podem lançar operações altamente eficazes com apenas alguns cliques.

Com relação aos grupos envolvidos, as campanhas realizadas por Monte incluído e pelo grupo pró-Rússia UNK_AcademicFlare, entre outros atores. Além disso, a Proofpoint observa que essa técnica era usada anteriormente em testes de intrusão e ataques direcionados, mas, recentemente, expandiu-se para operações mais amplas e sistemáticas.

A mensagem subjacente dos fornecedores de segurança é clara: phishing do código do dispositivo. Já não é uma raridade.Faz parte do conjunto de ferramentas padrão de muitos grupos, incluindo aqueles com motivações econômicas e geopolíticas, e continuará a evoluir à medida que as autenticações tradicionais resistentes a phishing se tornarem mais comuns.

Para organizações cujas operações diárias são baseadas no Microsoft 365, Entra ID, Exchange Online, Teams, OneDrive e outros aplicativos SaaS federados, esse tipo de ataque não é apenas uma dor de cabeça técnica: Afeta diretamente o funcionamento do coração. da empresa. Uma única violação de segurança bem-sucedida pode resultar no roubo de informações confidenciais, fraude financeira e danos à reputação.

Quando o atacante obtém tokens válidos por meio de phishing de código de dispositivo, ele procede à operação com um acesso aparentemente legítimoDo ponto de vista de muitos sistemas, não há nada de "estranho": um usuário autenticado, com credenciais válidas e autenticação multifator bem-sucedida, verificando seu e-mail, revisando documentos ou acessando aplicativos corporativos. A linha que separa o uso normal do uso malicioso torna-se muito mais tênue.

Entre os efeitos mais comuns estão o acesso em massa às caixas de correio, o exfiltração de e-mails e anexos confidenciaisO roubo de documentos no SharePoint/OneDrive, a identificação dos responsáveis ​​pelos pagamentos e autorizações e, a partir daí, a preparação de fraudes BEC (Business Email Compromise) muito convincentes, baseadas em trocas de e-mails reais.

Além disso, a persistência alcançada por meio de tokens de atualização e regras de caixa de correio permite que o invasor permanecer dentro do ambiente Mesmo que a empresa reaja alterando as senhas, a vulnerabilidade persiste por um longo período. Sem uma revisão completa das sessões, tokens e regras de troca de dados, é fácil para um invasor manter um ponto de entrada.

Tudo isso contribui para um contexto em que a identidade é o principal campo de batalha. Modelos de acesso baseados em Credenciais reutilizáveis ​​e MFA fraco. Essas estratégias são cada vez mais incompatíveis com campanhas de ataque focadas no abuso de fluxos legítimos, tokens e consentimento. É por isso que a CISA e outras organizações estão pressionando tanto por arquiteturas de identidade mais robustas e métodos de autenticação resistentes a phishing.

Um problema adicional é que poucas organizações verão um alerta que diga literalmente “phishing de código de dispositivo detectado”. O que geralmente aparece é um conjunto de sintomas dispersos que, vistas separadamente, podem parecer ruído, mas juntas pintam um quadro de compromisso com a identidade.

Alguns sinais preocupantes são acessos atípicos nos registros do OAuth ou autenticações fora dos padrões normais da organização; Atividade anômala no Exchange Online, como a criação ou modificação suspeita de regras de caixa de entrada; o uso de tokens de locais, intervalos de IP ou infraestruturas incomuns; usuários que afirmam ter "verificado sua identidade" ou inserido um código na Microsoft sem se lembrarem exatamente do motivo; ou e-mails que são encaminhados, ocultos ou desaparecem, mesmo que o acesso pareça legítimo.

Além disso, é importante deixar algo bem claro: Ter uma autenticação multifator não é garantia absoluta.A CISA insiste que algumas medidas de segurança tradicionais continuam vulneráveis ​​a ataques de engano, interceptação ou fadiga. O phishing de código de dispositivo não "quebra" a MFA, mas a contorna: engana o usuário para que a aplique no contexto errado, legitimando a sessão do atacante.

Também não basta confiar em um "bom antivírus", verificar apenas as senhas ou ficar tranquilo porque o usuário acaba em uma página da Microsoft. O valor deste ataque reside precisamente na exploração de fluxos legítimos.Portanto, muitas medidas de segurança tradicionais falham em detectá-lo por conta própria. Usar o Microsoft 365 não é o problema, mas também não é automaticamente a solução.

Nesse sentido, se uma organização deseja levar esse risco a sério, deve analisá-lo sob a perspectiva de identidade e segurança OAuthNão se trata apenas de uma camada anti-phishing de e-mail. A abordagem deve abranger fluxos de autenticação, tokens, consentimento, monitoramento de aplicativos e comportamento do usuário.

Mitigar esses tipos de ataques exige uma combinação de mudanças arquitetônicas, ajustes de configuração e campanhas de conscientização altamente específicas. Uma campanha genérica do tipo "não clique em links suspeitos" é insuficiente. É necessário... abordar o problema em várias frentes e com critérios de prioridade claros.

Em primeiro lugar, é aconselhável priorizar métodos de autenticação resistentes a phishingA CISA recomenda a migração para FIDO/WebAuthn e chaves de acesso sempre que possível. Embora esses métodos não eliminem completamente o risco de abuso do fluxo OAuth por si só, eles reduzem a dependência de senhas e SMS e códigos temporários visíveis ou aprovações que são muito fáceis de manipular.

Em segundo lugar, é fundamental analisar o utilização do fluxo de código do dispositivoMuitas empresas não precisam ter esse fluxo de trabalho habilitado para todos os usuários. A abordagem sensata é identificar quais aplicativos e grupos de usuários realmente o exigem, limitá-lo a esses casos e, se possível, bloqueá-lo completamente onde não agrega valor. A Proofpoint destaca essa como a medida mais eficaz: desabilitar o fluxo de trabalho de código do dispositivo quando não for estritamente necessário.

É também essencial reforçar as capacidades de Insira o ID e o acesso condicional.A Microsoft recomenda políticas de login baseadas em risco, respostas automáticas a tentativas de acesso anômalas, revogação de sessões suspeitas e exigência de dispositivos compatíveis ou registrados para determinados fluxos, incluindo o OAuth. Isso está alinhado a uma estratégia mais ampla de IAM e postura em nuvem, focada em reduzir o alcance de um token comprometido.

Outro fator crucial é aprimorar o Monitoramento do Exchange Online e do Microsoft GraphComo muitas campanhas têm o e-mail como objetivo principal, faz sentido monitorar cuidadosamente a criação de regras de caixa de entrada, encaminhamentos externos inesperados, alterações silenciosas na caixa de correio e acessos incomuns a dados do Graph. O Defender XDR, o Defender para Office 365 e o Entra ID Protection podem fornecer sinais valiosos se configurados e monitorados ativamente; consulte nosso Guia completo para pesquisa e análise de ameaças..

Por fim, a sensibilização deve centrar-se numa mensagem muito específica:Não insira códigos da Microsoft nem valide sessões. que vêm de links ou documentos não verificados, mesmo que a página de destino seja da Microsoft e pareça completamente legítima.” Essa nuance é fundamental, porque muitos usuários acreditam que, se virem um domínio oficial, não pode haver mais engano.

Para traduzir todas essas ideias em ações concretas dentro de uma empresa de médio porte, é útil trabalhar com um limpar lista de verificação que permite a avaliação de riscos e a priorização de medidas. Com base em recomendações da Microsoft, CISA, Barracuda e Proofpoint, as seguintes linhas de trabalho, entre outras, podem ser consideradas:

• Identifique se o fluxo de código do dispositivo é realmente necessário. na organização e, em caso afirmativo, em quais cenários específicos (dispositivos especiais, salas de reunião, sistemas legados, etc.).
• Consulte o catálogo de aplicativos. que utilizam OAuth e, em particular, que permitem ou exigem o fluxo de códigos de dispositivos, a fim de limitá-lo ao estritamente necessário.
• Avalie a implementação atual da MFA (autenticação multifator).Qual a porcentagem de usuários resistentes a phishing, onde métodos fracos ainda estão sendo usados ​​e quais grupos críticos (finanças, compras, gestão, TI) precisam migrar para FIDO2/chaves de acesso ou equivalentes o mais rápido possível?
• Reforçar as políticas de acesso condicional na Entra., incluindo risco de autenticação, requisitos de dispositivos compatíveis e bloqueio de fluxos OAuth que não sejam considerados necessários.
• Monitore as regras da caixa de correio, o encaminhamento e atividades anômalas. No Exchange Online, configure alertas específicos para alterações que indiquem possível persistência ou exfiltração de dados.
• Verifique a visibilidade no Defender XDR e no Defender para Office. e a proteção Entra ID para garantir a detecção de padrões associados ao abuso de OAuth e código de dispositivo.
• Analise contas privilegiadas e de grande visibilidade., aplicando controles reforçados (MFA forte, acesso condicional mais rigoroso, supervisão adicional).
• Treinar usuários e equipes principais Neste padrão de ataque específico, com exemplos práticos de e-mails, códigos e fluxos de aprovação suspeitos, e como Denunciar e-mails de phishing no Outlook.
• Defina um plano de resposta Em caso de suspeita de abuso do fluxo de código do dispositivo: revogação de sessão, invalidação de tokens de atualização, revisão de caixa de correio, análise da atividade do Graph e monitoramento de acessos recentes e como eles ocorreram. Corrigir conta Microsoft.

Integrar essa lista de verificação em uma auditoria do Microsoft 365 ou em uma revisão de segurança específica ajuda a transformar a teoria em prática. mudanças tangíveis em configuração, processos e hábitos do usuário.

Nessa conversa, o Senhas e autenticação FIDO/WebAuthn Não são apenas uma "conveniência extra" para o usuário. Elas abordam diretamente a realidade de ataques como o phishing de código de dispositivo, em que o adversário explora o fato de o usuário copiar, digitar ou aprovar algo reutilizável no contexto errado.

Ao eliminar a necessidade de inserir senhas ou códigos que podem ser reutilizados e ao vincular fortemente a autenticação ao dispositivo e domínio corretos, os métodos resistentes a phishing Muitas portas estão se fechando. Esses ataques se baseiam em enganar a pessoa para que ela autorize algo inapropriado. Não são uma solução milagrosa, mas representam uma mudança arquitetônica significativa.

A CISA afirma claramente: a autenticação resistente a phishing deve ser a alvo de referênciaIsso não significa que uma empresa possa ativar chaves de acesso em uma tarde e esquecer o assunto, mas significa que sua estratégia de identidade precisa abandonar modelos baseados em senhas estáticas, SMS, códigos temporários visíveis ou aprovações que são muito fáceis de manipular.

Na prática, a transição costuma ser gradual: começa com o usuários e sistemas mais críticosEstão sendo combinados métodos enquanto a frota de dispositivos está sendo adaptada, e isso é acompanhado por mudanças nas políticas de acesso condicional, governança de aplicativos e monitoramento do OAuth. Ao mesmo tempo, o treinamento está sendo reforçado para que os usuários entendam que “segurança” não se resume mais a “usar uma senha longa e habilitar a autenticação de dois fatores”.

O contexto apresentado pela Microsoft, Barracuda e Proofpoint é bastante claro: os atacantes continuarão a explorar essas vulnerabilidades. fluxos legítimos, tokens válidos e contextos de confiançaO phishing de código de dispositivo é um dos exemplos mais claros da direção que o jogo de comprometimento de identidade está tomando. Para organizações que dependem do Microsoft 365, a questão não é mais se elas possuem autenticação multifator (MFA), mas sim se seu modelo de acesso está preparado para resistir a campanhas modernas que exploram a própria lógica de autorização da plataforma.

Artigo relacionado:

Funcionários, fiquem atentos ao phishing: um guia completo para empresas e funcionários.