Recentemente, pesquisadores da ANY.RUN descobriram o N0va, um novo kit de phishing que visa organizações em toda a América do Norte e na UE, incluindo governo, tecnologia, consultoria e saúde. O que torna o N0va especialmente relevante para líderes de SOC é como ele espalha o ataque em diferentes camadas. Autenticação legítima, iscas de marca confiável, sites comprometidos e infraestrutura em nuvem podem deixar equipes de segurança com apenas parte do quadro.
Como o N0va opera
O N0va depende de iscas que imitam ferramentas que os funcionários usam todos os dias, incluindo Microsoft Teams, SharePoint, OneDrive, DocuSign, Google Drive, Dropbox, Zoom e Adobe Sign. Em uma sessão de sandbox ANY.RUN, os pesquisadores observaram uma isca com tema da Microsoft que guiou a vítima por um fluxo de autenticação de código de dispositivo.
A página imitava de perto uma experiência de verificação legítima da Microsoft, tornando a interação familiar enquanto direcionava o usuário para o fluxo do atacante. Uma tentativa bem-sucedida do N0va pode dar aos atacantes mais do que uma senha. Ao obter acesso e tokens de atualização e abusar de mecanismos de registro de dispositivo, eles podem estabelecer acesso SSO a recursos corporativos.
Riscos para identidades
Para CISOs e líderes de SOC, as principais preocupações incluem: roubo de conta, onde tokens de acesso e atualização roubados podem dar aos atacantes acesso contínuo a contas corporativas; pontos cegos de MFA, onde autenticação legítima da Microsoft pode fazer com que a atividade pareça menos suspeita; e visibilidade limitada, onde páginas de phishing e autenticação podem aparecer em ferramentas diferentes.
O acesso prolongado do atacante é outro risco, pois o acesso baseado em tokens pode permanecer válido mesmo após a página de phishing original ser retirada. O esforço de investigação também aumenta, pois analistas podem precisar correlacionar atividade de e-mail, identidade, navegador e rede para entender se uma conta foi realmente comprometida.
Impacto operacional no SOC
O N0va destaca três áreas onde líderes de SOC podem fortalecer suas defesas: validação mais rápida no Tier 1, melhor contexto de ameaça em investigações e cobertura de detecção mais ampla na pilha de segurança. A análise sandbox interativa da ANY.RUN dá aos analistas do Tier 1 um ambiente seguro para reproduzir comportamento de phishing, seguir redirecionamentos e inspecionar atividade do navegador.
Isso ajuda a entender se um evento suspeito é uma isca isolada ou parte de um ataque de identidade mais amplo. Para líderes de SOC, isso pode se traduzir em ganhos de capacidade mensuráveis, com relatórios da ANY.RUN indicando até 20% de redução na carga de trabalho do Tier 1 e 30% de redução em escalonamentos do Tier 1 para Tier 2.
Medidas de defesa
1. Implementar ferramentas de sandbox interativo para análise de phishing. 2. Usar Threat Intelligence Lookup para conectar indicadores relacionados. 3. Integrar feeds de inteligência de ameaças em SIEM e SOAR. 4. Monitorar fluxos de autenticação de dispositivo e tokens. 5. Treinar analistas para identificar iscas de marca confiável.
Perguntas frequentes
Como o N0va difere do phishing tradicional? Ele usa autenticação legítima e tokens, tornando a detecção mais difícil. Quais setores são mais visados? Governo, tecnologia, consultoria e saúde. Como mitigar? Use sandbox, inteligência de ameaças e monitoramento de identidade.