Panorama e descoberta
Conforme a investigação divulgada pela Infoblox e repercutida por veículos, atores montaram páginas de SSO falsas que funcionam como proxies reversos entre a vítima e o provedor real. Essas páginas usam certificados válidos e copiam scripts e fluxos do portal legítimo, tornando verificações visuais pouco confiáveis.
Método e técnica
O fluxo observado opera assim: o usuário é induzido por phishing a acessar um domínio lookalike; o proxy (Evilginx) retransmite o conteúdo do provedor real ao navegador da vítima enquanto, em paralelo, grava cookies e tokens de sessão. Uma vez capturados, esses cookies permitem ao atacante reproduzir a sessão sem precisar do password ou do código MFA.
server_name login.example.com;
proxy_pass https://login.real-sso.com;
proxy_set_header Host login.real-sso.com;Infoblox descreve que, ao operar no nível de proxy, os atacantes conseguem logar os cookies antes que mecanismos do dispositivo ou ferramentas corporativas os protejam.
Impacto prático
Com tokens de sessão ativos, um atacante pode ler emails, redefinir senhas em aplicativos vinculados, adicionar métodos MFA ou plantar acessos persistentes. A infra‑estrutura de ataque reportada inclui domínios com certificados válidos e uso de proxies para reescrever headers, o que dificulta detecção por controles superficiais.
Alvos observados
A cobertura aponta que instituições acadêmicas e plataformas de colaboração e email foram foco em campanhas recentes. A técnica permite escalonamento de riscos: de um clique em phishing para comprometimento de contas com acesso a dados sensíveis.
Mitigações e recomendações
- Implementar proteção contra replay de cookies e controles de binding de sessão (por exemplo, verificar parâmetros de dispositivo/endpoint);
- usar detecção de domínios lookalike e inspeção de DNS para identificar infraestruturas de phishing que atuam como proxies;
- aplicar políticas de verificação de identidade fortes no backend (revalidação de tokens, vinculação a dispositivos, e logs de anomalia de sessão).
Limitações das fontes
As informações acima são baseadas na análise da Infoblox citada na cobertura; as matérias não incluem, no feed consultado, indicadores de comprometimento (IOCs) completos ou domínios exatos usados nas campanhas.
Profissionais devem acompanhar o relatório original da Infoblox para IOCs e detalhes técnicos adicionais. As recomendações aqui replicam pontos explicitados pela análise publicada e pela cobertura técnica.