Phaas

O phishing por código de dispositivo, que explora a autorização de dispositivos do OAuth 2.0 para roubar tokens de acesso, evoluiu rapidamente de uma técnica de red-team para uma ameaça em larga escala. Inicialmente projetado para dispositivos com restrições de entrada, como TVs inteligentes e impressoras, esse método foi adotado por uma variedade de aplicativos, especialmente logins em interfaces de linha de comando (CLI). Desde 2020, quando foi descrito pela primeira vez, o uso dessa técnica por atores estatais e grupos criminosos cresceu exponencialmente, com a Barracuda relatando 7 milhões de ataques em apenas quatro semanas. A técnica contorna todos os métodos de autenticação multifatorial (MFA), incluindo chaves de segurança, atacando a camada de autorização após o login. A comercialização do phishing como serviço (PhaaS) facilitou a criação e distribuição de kits de phishing, com mais de 25 kits distintos sendo rastreados atualmente. Embora 99% dos ataques detectados visem a Microsoft, qualquer aplicativo que implemente o OAuth 2.0 pode ser um alvo. Essa mudança para ataques à autorização representa uma nova fase nas ameaças cibernéticas, exigindo que as equipes de segurança se adaptem rapidamente às novas dinâmicas.

As autoridades da Alemanha e dos Estados Unidos desmantelaram a infraestrutura central da Kratos, uma plataforma de phishing como serviço (PhaaS) com alcance global, e prenderam seu desenvolvedor na Indonésia. Durante a operação, mais de 200 servidores foram apreendidos, interrompendo efetivamente o serviço malicioso. A ação foi liderada pelo Ministério Público de Frankfurt (ZIT) e pela Polícia Federal da Alemanha (BKA), em colaboração com agências de aplicação da lei dos EUA. A BKA descreveu a Kratos como um dos serviços de phishing mais utilizados no mundo, com vítimas confirmadas em 35 países, especialmente na Europa e nos Estados Unidos. Estima-se que mais de 1.800 clientes criminosos tenham adquirido o serviço, realizando cerca de 15.000 campanhas de phishing por mês, cada uma com potencial para atingir milhares de destinatários. O kit de phishing permitia a criação de páginas de autenticação falsas da Microsoft, projetadas para roubar endereços de e-mail e senhas. Com a prisão do administrador técnico e o fechamento de partes-chave da infraestrutura, as autoridades acreditam que essas campanhas de phishing não poderão mais continuar.

Um novo serviço de phishing como serviço (PhaaS) chamado Forg365 tem como alvo contas do Microsoft 365, utilizando métodos de adversário no meio (AiTM) e códigos de dispositivo, além de geração de iscas assistida por inteligência artificial. A plataforma oferece uma extensão de navegador que permite acesso contínuo aos serviços da Microsoft sem necessidade de reautenticação. Pesquisadores da ZeroBEC identificaram que muitos recursos do Forg365 são semelhantes a outras plataformas de PhaaS, como Kali365 e Sneaky2FA. A investigação começou com e-mails de phishing disfarçados de documentos empresariais, utilizando serviços legítimos como Amazon SES e SendGrid para entrega. O Forg365 permite a criação de campanhas de phishing, gerenciamento de links e tokens, e geração de e-mails maliciosos a partir de um painel centralizado. A plataforma também possui um recurso de monitoramento de palavras-chave em caixas de entrada comprometidas e uma extensão chamada ForgCookie, que captura cookies de sessão para acesso persistente. As principais rotas de ataque incluem phishing por código de dispositivo e phishing AiTM, ambos projetados para enganar as vítimas e capturar credenciais sem solicitar diretamente a senha. A ZeroBEC recomenda que as organizações restrinjam a autenticação por código de dispositivo e monitorem logs do Microsoft Entra para eventos suspeitos.

O Tycoon 2FA, um dos principais kits de phishing como serviço (PhaaS), foi desmantelado por uma coalizão de agências de segurança e polícia. Lançado em agosto de 2023, o kit permitiu que cibercriminosos realizassem ataques de coleta de credenciais em larga escala, afetando quase 100 mil organizações globalmente, incluindo escolas e hospitais. O kit, que era vendido por meio de plataformas como Telegram e Signal, oferecia um painel de administração web para configurar e monitorar campanhas de phishing, permitindo o acesso a informações sensíveis, como credenciais e códigos de autenticação multifatorial (MFA). O desmantelamento resultou na remoção de 330 domínios associados ao serviço criminoso, que gerava dezenas de milhões de e-mails de phishing mensalmente. A Europol e a Microsoft relataram que o Tycoon 2FA foi responsável por 62% de todas as tentativas de phishing bloqueadas pela Microsoft até meados de 2025. A análise geográfica revelou que os EUA tinham a maior concentração de vítimas, seguidos pelo Reino Unido e Canadá. O impacto desses ataques é significativo, pois pode levar a sequestros de contas e perda de dados sensíveis.

O phishing é uma técnica de engenharia social que visa enganar usuários para que revelem informações sensíveis, como dados de pagamento e credenciais. O artigo destaca que mesmo profissionais experientes em cibersegurança podem ser vítimas desse tipo de ataque, especialmente em momentos de distração ou estresse emocional. As mensagens de phishing, que podem chegar por e-mail, SMS ou aplicativos de mensagens, frequentemente imitam interações digitais comuns, como notificações de pacotes ou alertas de segurança, tornando-se cada vez mais convincentes. Além disso, a pesquisa revela que o phishing se transformou em uma economia industrializada, com plataformas de phishing como serviço (PhaaS) que permitem a qualquer pessoa, independentemente de habilidade técnica, realizar ataques sofisticados. O uso de inteligência artificial para gerar mensagens personalizadas e contextuais aumenta ainda mais a eficácia desses ataques. A urgência e a distração são fatores críticos que facilitam a ação dos atacantes, tornando a conscientização e a vigilância hábitos essenciais para todos os usuários.

O Google anunciou uma ação legal contra o ‘Lighthouse’, uma plataforma de Phishing-as-a-Service (PhaaS) que tem sido responsável por um aumento significativo de ataques de phishing via SMS, conhecidos como ‘smishing’, desde 2020. Com mais de 1 milhão de vítimas em mais de 120 países, os prejuízos nos EUA incluem o roubo de até 115 milhões de cartões de crédito. A investigação forense do Google revelou pelo menos 107 modelos de sites que usavam a marca oficial do Google para enganar usuários e coletar dados sensíveis, como credenciais de e-mail e informações bancárias. Os ataques geralmente envolvem mensagens de texto que simulam comunicações de organizações confiáveis sobre pacotes ou taxas de pedágio não pagas, levando as vítimas a sites fraudulentos. A ação legal do Google se baseia em várias leis, incluindo a Lei RICO, e busca desmantelar a infraestrutura do Lighthouse. Além disso, a empresa está promovendo três projetos de lei no Congresso dos EUA para fortalecer a resposta a operações criminosas. O Google também está implementando soluções tecnológicas, como IA para detectar fraudes em tempo real, visando proteger os usuários antes que interajam com conteúdos maliciosos.

Um novo relatório da Netcraft revela que as ofertas de Phishing-as-a-Service (PhaaS), como Lighthouse e Lucid, estão associadas a mais de 17.500 domínios de phishing que visam 316 marcas em 74 países. Esses serviços operam com uma taxa mensal e oferecem kits de phishing com templates que imitam diversas marcas. O grupo XinXin, de língua chinesa, é apontado como o responsável por essas operações, utilizando também outros kits como Darcula. As campanhas de phishing são altamente personalizadas, permitindo que apenas alvos específicos acessem os links fraudulentos, enquanto usuários não-alvo são redirecionados para páginas genéricas. Além disso, houve um aumento de 25% nos ataques de phishing via e-mail, com criminosos utilizando serviços como EmailJS para coletar credenciais. A pesquisa também destaca o uso de domínios semelhantes, como ataques homoglíficos, que enganam usuários ao imitar URLs legítimas. Recentemente, marcas americanas foram alvo de fraudes que prometiam ganhos financeiros em troca de depósitos em criptomoedas. Este cenário evidencia a evolução e a colaboração entre grupos de cibercriminosos, tornando a detecção e mitigação de tais ameaças cada vez mais desafiadoras.