Starkiller: nova plataforma de phishing usa proxy reverso AitM para burlar MFA
Pesquisadores de segurança cibernética divulgaram detalhes de uma nova suíte de phishing chamada Starkiller que utiliza um proxy reverso para contornar proteções de autenticação multifator (MFA). A plataforma é anunciada como um serviço de cibercrime por um grupo de ameaça que se autodenomina Jinkusu, concedendo aos clientes acesso a um painel que permite selecionar uma marca para impersonar ou inserir a URL real de uma marca.
Mecanismo de ataque e alcance
O Starkiller opera como um proxy reverso do tipo Adversary-in-The-Middle (AitM). Quando uma vítima visita uma página de login falsa criada pela plataforma, suas credenciais são interceptadas em tempo real. O ataque não se limita a capturar senhas; ele também pode interceptar tokens de sessão e códigos de autenticação de segundo fator, permitindo que o invasor assuma o controle da conta mesmo com MFA habilitado.
A ferramenta oferece uma interface intuitiva onde o atacante pode escolher entre uma lista de marcas populares para clonar ou fornecer uma URL personalizada. Isso reduz a barreira de entrada para criminosos menos técnicos, potencialmente ampliando o volume de ataques.
Implicações para a segurança corporativa
A eficácia deste método contra o MFA representa um desafio significativo para as defesas atuais. Muitas organizações confiam na autenticação multifator como uma camada crítica de segurança. Ataques AitM que conseguem contornar essa barreira exigem uma revisão das estratégias de proteção.
Especialistas recomendam o uso de métodos de MFA mais resistentes a phishing, como chaves de segurança físicas (FIDO2/WebAuthn) ou códigos gerados em aplicativos autenticadores que não sejam baseados em SMS ou notificações push, que são mais suscetíveis a interceptação em tempo real.
Observações e recomendações
A descoberta do Starkiller reforça a necessidade de uma abordagem em camadas para a segurança de identidade. Além do MFA, é crucial educar os usuários sobre os sinais de páginas de login fraudulentas, implementar políticas de acesso de rede que detectem tráfego anômalo para domínios de phishing e monitorar ativamente a exposição de credenciais corporativas na dark web.
A persistência e sofisticação de ferramentas como o Starkiller indicam que os atores de ameaças estão investindo pesadamente em métodos para invalidar uma das principais defesas modernas. A resposta da indústria de segurança deve evoluir na mesma velocidade.