Hack Alerta

Campanha usa 'rn' para falsificar domínios da Microsoft e Marriott

Pesquisas identificaram uma campanha de phishing que usa homoglyphs — substituir “m” por “rn” — para criar domínios visualmente iguais aos de Microsoft e Marriott. Domínios como rnicrosoft.com e rnarriottinternational.com foram detectados; ataque é especialmente eficaz em dispositivos móveis. Recomenda‑se bloqueio imediato dos IOCs e medidas anti‑autofill.

Resumo

Pesquisadores identificaram uma campanha de phishing que usa um truque de homoglyph — substituir a letra "m" pela sequência "rn" — para criar domínios visualmente idênticos aos de Microsoft e Marriott. O método torna a detecção especialmente difícil em telas pequenas e já gerou diversas variações maliciosas de URL.

Descoberta e escopo

Relatório publicado por Cyber Security News, com base em observações de empresas de segurança como Netcraft e comentários de analistas, descreve um conjunto de domínios registrados por atacantes que exploram a semelhança visual entre "m" e "rn" em muitas fontes tipográficas. Entre os alvos apontados estão serviços de login da Microsoft e portais da Marriott International.

Vetor e técnica

A técnica é conhecida como typosquatting ou ataque por homoglyphs: em muitos tipos de letra, a sequência de caracteres "r" seguido de "n" ("rn") é percebida de forma quase idêntica ao caractere "m". Os criminosos registram domínios que substituem "m" por "rn" (por exemplo, rnicrosoft.com em vez de microsoft.com) e os utilizam em campanhas de phishing por e‑mail para enganar usuários e capturar credenciais ou dados pessoais.

Indicadores de compromisso (IOCs)

  • rnarriottinternational.com — impersonando Marriott International
  • rnarriotthotels.com — variação para marcas hoteleiras
  • rnicrosoft.com — impersonando Microsoft 365 / login
  • micros0ft.com — variação com "0" em vez de "o"
  • microsoft-support.com — sufixo / hyphenation comum em golpes

Evidências e limites

O relato cita identificação de clusters de domínios maliciosos por Netcraft e aponta observações de analistas da Anagram sobre campanhas similares. O material público não traz, contudo, métricas sobre número de vítimas, logs de tráfego ou confirmações de roubos de credenciais. Também não há no artigo atribuição a um ator específico nem evidência pública de comprometimento em larga escala de servidores da Microsoft ou Marriott.

Risco móvel e de UX

Os autores ressaltam que o ataque é particularmente eficaz em dispositivos móveis: telas pequenas e fontes reduzidas aumentam a probabilidade de o usuário não perceber a substituição "m" → "rn". Ferramentas de análise visual e revisão manual de URLs tornam‑se menos efetivas nesse cenário, elevando o risco de sucesso do phishing.

Mitigações recomendadas

  • Bloquear proativamente os domínios listados em proxies web e filtros de e‑mail corporativos.
  • Educação específica para equipes e usuários finais sobre homoglyphs e formas de verificar URLs em dispositivos móveis (tocar no remetente para ver o e‑mail completo, por exemplo).
  • Configurar gerenciadores de senhas que não preencham credenciais em domínios similares, reduzindo risco de autofill em sites falsos.
  • Preferir acesso manual via digitação do domínio conhecido (microsoft.com, marriott.com) em casos de notificações urgentes.
  • Monitorar registros WHOIS e certificar‑se de cobertura de proteção de marca/typosquatting em domínios críticos.

Implicações para times de segurança

Para equipes de defesa, a campanha reforça a necessidade de incluir detecções por similaridade visual e heurísticas de homoglyph em listas de bloqueio e em sistemas de triagem de e‑mail. Além disso, controles de DLP e monitoramento de acesso a contas privilegiadas podem ajudar a detectar tentativas de uso indevido de credenciais obtidas via phishing.

O que falta

O material disponível não informa volume de e‑mails enviados, taxas de clique ou confirmações de roubo de credenciais. Também não há menção a ações tomadas pelas empresas impersonadas (Microsoft, Marriott) nem a takedowns ou solicitações de registro junto a provedores de domínio. Essas lacunas impedem avaliar o impacto operacional real da campanha.

Conclusão

Embora a técnica em si seja conhecida, a identificação de domínios específicos e a ênfase no risco móvel relembram que variantes simples de typosquatting continuam eficazes. Equipes de segurança devem priorizar bloqueios imediatos dos IOCs, comunicação a usuários e a implementação de proteções que reduzam autofill e preenchimento automático em domínios não verificados.

Fontes

Relatório da Cyber Security News com observações de Netcraft e comentários de analistas da Anagram.


Baseado em publicação original de Cyber Security News
Publicado pela Redação Hack Alerta com base em fontes externas citadas e monitoramento editorial do Hack Alerta. Para decisões técnicas, operacionais ou jurídicas, confirme sempre os detalhes na fonte original.