Descoberta e escopo
Um novo kit de phishing identificado como GhostCode foi descoberto por analistas da eSentire, explorando o fluxo de autorização de dispositivo do OAuth para contornar a autenticação multifatorial (MFA) do Microsoft 365. O ataque não requer o roubo de senhas, mas sim a persuasão da vítima a aprovar um login que concede acesso à conta de trabalho. A campanha começou com mensagens enviadas por formulários de contato de negócios, onde atacantes se passaram por equipe de compras e enviaram um link do WeTransfer contendo um anexo HTML protegido por senha.
O kit foi nomeado GhostCode devido ao seu código oculto e ao uso de infraestrutura vinculada ao GHOSTnet durante o registro de dispositivos. A análise revelou que a operação utiliza um pretexto de comprometimento de e-mail comercial para tornar o pedido parecer rotineiro, explorando a confiança do usuário em páginas de identidade familiar.
O que mudou agora
A descoberta é crítica porque a vítima completa a autenticação, incluindo a autenticação multifatorial, em uma página legítima do Microsoft. O GhostCode então recebe o token resultante, envia a vítima para um NDA falso e começa a operar antes que a vítima tenha motivo para suspeitar do problema. O caso sublinha por que campanhas de phishing de código de dispositivo são difíceis de identificar usando sinais de alerta de roubo de senha familiares.
O risco é imediato porque a vítima completa a autenticação em uma página legítima do Microsoft. O GhostCode então recebe o token resultante, envia a vítima para um NDA falso e começa a operar antes que a vítima tenha motivo para suspeitar do problema.
Vetor e exploração
O GhostCode abusa do processo de autorização de dispositivo do OAuth, que é destinado a dispositivos como televisores inteligentes que não conseguem exibir facilmente uma tela de login completa. O servidor do kit solicita um código usando o ID de aplicativo do Microsoft Authentication Broker, insere esse código em um portal de documentos falsos polidos e pede ao alvo que o autentique. O usuário está efetivamente autorizando o dispositivo do atacante.
O anexo torna a inspeção mais difícil. Ele é preenchido com dados inúteis, quebra o texto visível com comentários HTML e mantém seu endereço de redirecionamento criptografado até que a senha correta seja fornecida. Após a vítima chegar ao servidor de phishing, um desafio do navegador e verificações de localidade filtram scanners automatizados.
Evidências e limites
Uma vez que o login é aprovado, o kit usa endereços de proxy residencial selecionados para corresponder à localização da vítima. Isso torna o prompt do Microsoft menos alarmante e pode enfraquecer alertas baseados em localidade. Na intrusão observada, os atacantes fizeram nove chamadas de API bem-sucedidas, registraram três dispositivos em 78 segundos e obtiveram um Token de Ativação Primária em 32 segundos.
Esse token pode suportar o login em todos os serviços do Microsoft 365 sem pedir ao usuário que se autentique novamente. A velocidade importa porque simplesmente revogar um token roubado pode não remover dispositivos já registrados no inquilino.
Impacto e alcance
Os pesquisadores encontraram que dispositivos registrados permanecem até que os administradores os desativem ou removam explicitamente. Equipes respondendo a atividade suspeita de código de dispositivo devem invalidar tokens, redefinir credenciais afetadas, revisar dispositivos recém-registrados e verificar logs de acesso de e-mail e nuvem para atividade de acompanhamento.
O controle recomendado é bloquear a autenticação de código de dispositivo por meio de Acesso Condicional para todos que não precisem genuinamente dele, permitindo exceções rigidamente definidas para fluxos de serviço ou provisionamento aprovados.
Medidas de mitigação recomendadas
Organizações devem aplicar controles de conformidade de dispositivo onde for adequado. Isso reduz o número de funcionários que poderiam ser enganados pelo mesmo método usado em ataques de phishing temáticos de chaves de acesso. Equipes de segurança devem alertar sobre eventos de código de dispositivo bem-sucedidos seguidos por solicitações de script anômalas ou vários registros de dispositivo de uma única sessão não interativa.
Elas também devem caçar nomes de dispositivos que correspondam a um padrão de primeiro nome, sobrenome, domínio da empresa e sufixo hexadecimal. A conscientização do usuário permanece importante: um pedido inesperado de copiar um código em uma página do Microsoft deve ser tratado como suspeito.
O que os CISOs devem fazer imediatamente
Equipes de segurança devem monitorar novas páginas de phishing que correspondam às assinaturas de arquivo do kit, observar o abuso de marca vinculado a SMS e manter procedimentos rápidos de relatório e remoção. Combinar essas medidas com conscientização da equipe e verificações de transação pode reduzir a janela na qual um operador ao vivo pode transformar detalhes roubados em perda financeira em escala.
Perguntas frequentes
Como o GhostCode difere do phishing tradicional? Ele não rouba senhas, mas usa o fluxo de autorização de dispositivo para obter tokens de acesso que contornam a MFA. Qual é o impacto principal? Contorno de segurança de identidade e acesso não autorizado a contas do Microsoft 365. Como mitigar? Bloquear autenticação de código de dispositivo via Acesso Condicional e monitorar logs de dispositivo.
Indicadores de comprometimento (IoCs)
- Domínio: bjssourcing[.]com (domínio semelhante usado no pretexto de oficial de compras)
- Domínio: greenlightdlstribution[.]com (domínio de impersonação relacionado registrado durante o período da campanha)
- Email: jeremyarcher@voewo[.]com (endereço descartável associado ao registro de domínio semelhante)
- Arquivo: 3arhCt9c0p.html (anexo HTML protegido por senha usado como isca de compartilhamento de documentos)
- URL: hxxps://chartered.flipbookonlinevault[.]com/scanna/... (URL de relay criptografada usada para rastreamento e redirecionamento)