A atividade global de phishing-as-a-service (PhaaS) aumentou para 7.295 uploads rastreados durante a semana de 20 a 26 de julho de 2026, impulsionada predominantemente pelo abuso do fluxo de autorização de dispositivo OAuth e por kits de adversário-no-meio (AiTM) que visam identidades do Microsoft 365. O grupo criminoso Storm-1747, operador por trás do Tycoon2FA, registrou 50 uploads atribuídos, uma queda de 6 em relação à semana anterior, devido à pressão contínua das forças policiais sobre sua infraestrutura.
Atividade semanal e tendências de ataque
Os dados, fornecidos pelo relatório semanal de inteligência de ameaças da ANY.RUN e cruzados com pesquisas de fornecedores como Microsoft, Sekoia, Push Security e Barracuda, mostram um aumento significativo no phishing de fluxo OAuth (+194), confirmando que o abuso de autenticação por código de dispositivo superou as páginas de captura de credenciais clássicas como a técnica principal de AiTM nesta semana.
O ranking dos 10 kits de phishing mais ativos revela a predominância de ferramentas que exploram vulnerabilidades no protocolo OAuth 2.0 e na autenticação multifator (MFA). O kit Sneaky2FA lidera com 886 uploads, seguido por EvilTokens (684 uploads) e Evilginx2/EvilProxy (660 uploads). A maioria dos kits utiliza proxies reversos para interceptar cookies de sessão após a conclusão legítima da MFA, burlando a segurança baseada em senhas.
Análise técnica dos principais kits
Sneaky2FA: Uma plataforma PhaaS completa vendida via Telegram que compromete contas do Microsoft 365 através de interceptação de proxy reverso AiTM. Ele valida credenciais roubadas em tempo real contra as APIs legítimas da Microsoft e usa janelas de login falsas "browser-in-the-browser" para derrotar a detecção de sandbox.
EvilTokens: Um kit PhaaS de crescimento rápido que abusa do fluxo de concessão de autorização de dispositivo OAuth 2.0, permitindo que atacantes sequestrarem um login do Microsoft 365 verificado por MFA sem nunca tocar na senha. Entregue via bots do Telegram, ele inclui geração de iscas impulsionada por IA e já foi usado em campanhas contra mais de 340 organizações.
Evilginx2 / EvilProxy: Frameworks de proxy reverso que interceptam o tráfego em tempo real entre vítimas e provedores de identidade (Microsoft 365, Okta, Google Workspace) para roubar cookies de sessão após a MFA. O EvilProxy é uma versão comercializada vendida de 150 a 400 dólares por mês.
Kali365: Um kit PhaaS de assinatura que rouba tokens de acesso do Microsoft 365 via phishing de código de dispositivo, contornando completamente a entrada de senha e as solicitações de MFA. As vítimas aprovam o que parece ser um convite de documento ou Teams em uma URL legítima da Microsoft, autorizando inadvertidamente a sessão do atacante.
Vetores de infecção e vulnerabilidades exploradas
Os vetores de infecção mais comuns incluem iscas de phishing disfarçadas de notificações de compartilhamento de documentos, convites de calendário ou solicitações de acesso ao SharePoint. O "quishing" (phishing via QR code) também aumentou, com 974 uploads semanais. As vulnerabilidades exploradas incluem o fluxo de autorização de dispositivo OAuth não restrito no Microsoft Entra ID, a reprodução de cookies de sessão após a conclusão da MFA e a falta de MFA resistente a phishing (FIDO2/WebAuthn).
Indicadores de comprometimento (IOCs) e recomendações de defesa
Os IOCs incluem domínios maliciosos como authdocspro[.]com (EvilTokens) e m365-verification[.]ru (Tycoon2FA), além de endpoints de exfiltração como next.php e save.php. As equipes de SOC devem restringir ou desabilitar o fluxo de autorização de dispositivo OAuth no Microsoft Entra ID via Acesso Condicional, a menos que seja explicitamente necessário para fluxos de IoT/CLI.
A implementação de MFA resistente a phishing (FIDO2/WebAuthn, chaves de acesso) para todos os usuários, priorizando contas privilegiadas, é crucial, pois ela vincula criptograficamente a autenticação à origem legítima e derrota o relay clássico de AiTM. Além disso, é essencial monitorar logs de login e da API Graph para uso anômalo de código de dispositivo e auditoria regular de concessões de aplicativos OAuth.