Três plataformas distintas de Phishing-as-a-Service (PhaaS), Sneaky 2FA, EvilTokens e EvilProxy, estão atacando ativamente organizações dos EUA para roubar credenciais e tokens de sessão do Microsoft 365 (M365), neutralizando efetivamente as proteções padrão de autenticação multifator (MFA). Cada kit utiliza uma abordagem técnica fundamentalmente diferente, mas todos convergem para o mesmo resultado: uma sessão M365 totalmente autenticada nas mãos do atacante.
Análise dos Kits de Phishing
O Sneaky 2FA utiliza ataques Adversary-in-the-Middle (AiTM) para roubo de cookies de sessão. Ele coloca um desafio Cloudflare Turnstile na frente da página de login falsa, bloqueando scanners automatizados. A vítima completa o MFA real, mas o cookie de sessão é capturado pelo atacante.
O EvilTokens abusa do OAuth 2.0 Device Authorization Grant. Ele não captura senhas, mas engana a vítima para autorizar um cliente do atacante diretamente na infraestrutura da Microsoft. Isso resulta na emissão de tokens de acesso e atualização diretamente para o atacante.
O EvilProxy opera como um proxy reverso real, roteando o tráfego da vítima através de infraestrutura controlada pelo atacante. Ele exibe a página de login real da Microsoft em tempo real, tornando a detecção visual difícil. O cookie de sessão é colhido durante a transição.
Técnicas de Evasão e Detecção
Os atacantes utilizam técnicas avançadas de evasão, como filtragem de IP, redirecionamentos via sites confiáveis e detecção de máquinas virtuais. O Sneaky 2FA, por exemplo, usa padrões de User-Agent inconsistentes ("impossible device shift") que podem ser detectados via correlação de logs de auditoria do Entra ID.
Para o EvilTokens, a detecção é mais desafiadora, pois não há página de phishing. A análise de logs de consentimento de OAuth e a monitoração de tokens de dispositivo não autorizados são essenciais. O EvilProxy pode ser detectado por prompts de MFA inesperados e URLs de login que não correspondem ao domínio de autenticação da organização.
Recomendações de Mitigação para CISOs
A única defesa estrutural contra todos os três kits é o MFA resistente a phishing, como chaves de segurança FIDO2/WebAuthn. A autenticação baseada em certificados de hardware também não pode ser proxyada ou sequestrada da mesma forma.
Organizações devem restringir o fluxo de autorização de dispositivo OAuth para usuários corporativos padrão via políticas de Acesso Condicional no Microsoft Entra ID. A implementação de regras de correlação Sigma/KQL para detectar "impossible device shift" é recomendada.
Além disso, a monitoração de alertas de proteção de identidade do Entra ID, como "Impossible Travel" e "Anomalous Token Detected", ajuda a identificar atividades suspeitas. A educação dos usuários para nunca inserir códigos de verificação de dispositivo a menos que tenham iniciado a solicitação é crucial.
Indicadores de Comprometimento (IOCs)
Os IOCs incluem padrões de URL específicos (como caminhos alfanuméricos de 150 caracteres para o Sneaky 2FA), domínios suspeitos (como sneakylog.store) e intervalos de IP associados a infraestrutura de nuvem (DigitalOcean, Railway). A análise de logs de acesso deve focar em sign-ins de provedores de hospedagem e padrões de User-Agent inconsistentes.
Perguntas Frequentes
O MFA tradicional é suficiente? Não. MFA baseado em SMS, TOTP ou push pode ser contornado por esses kits.
Qual a melhor defesa? Chaves de segurança FIDO2 e políticas de acesso condicional restritivas.
Como detectar o EvilTokens? Monitorando consentimentos de OAuth e tokens de dispositivo não autorizados.