A Infoblox Threat Intel identificou uma campanha global de phishing do tipo adversary-in-the-middle (AiTM) que tem como alvo universidades, empresas e instituições multinacionais, incluindo agências da União Europeia e das Nações Unidas. A operação utiliza falsos e-mails relacionados a processos de compras, enviados a partir de contas organizacionais comprometidas, para interceptar credenciais e tokens de sessões autenticadas em tempo real, inclusive em acessos protegidos por autenticação multifator.
Segundo a pesquisa, o uso de contas corporativas previamente comprometidas torna as mensagens mais confiáveis e aumenta as chances de sucesso do ataque. Após o clique no link, a infraestrutura utilizada pelos criminosos intercepta credenciais e tokens de sessões autenticadas, permitindo contornar diversos controles de proteção de identidade adotados pelas organizações.
Ataque simula processos corporativos legítimos
Para as vítimas, a campanha se apresenta como uma atividade comum da rotina de trabalho, como convites para participar de concorrências, compartilhamento de arquivos de projetos ou solicitações de informações. Os e-mails utilizam prazos falsos e avisos de confidencialidade para criar senso de urgência, enquanto páginas fraudulentas reproduzem interfaces conhecidas para induzir o usuário a informar suas credenciais.
Com esse método, os invasores conseguem obter acesso às contas e, posteriormente, aos ambientes corporativos, comprometendo informações e recursos das organizações.
Infraestrutura combina kits de phishing e sites comprometidos
A análise aponta que o agente da ameaça alterna entre diferentes kits de phishing como serviço, incluindo EvilProxy, FlowerStorm e Kali365. A campanha também utiliza sites comprometidos, muitas vezes inativos, para hospedar páginas falsas de download praticamente idênticas às originais.
Embora esses sites transmitam maior credibilidade do que domínios maliciosos recém-criados, padrões de subdomínios e o reaproveitamento da infraestrutura podem servir como indicadores para que equipes de segurança detectem a operação.
“Esses agentes exploram a confiança nos processos organizacionais, como os de compras, para convencer as pessoas a entregar suas credenciais”, afirmou a Dra. Renée Burton, vice-presidente da Infoblox Threat Intel. “Esse não é o tipo de cenário de phishing sobre o qual as pessoas costumam ser alertadas em treinamentos de segurança.”
Pesquisa reforça importância da inteligência de ameaças
De acordo com a Infoblox Threat Intel, as descobertas reforçam a necessidade de combinar conscientização dos usuários, controles de identidade e monitoramento da infraestrutura utilizada em campanhas de phishing.
A empresa destaca que a inteligência de ameaças baseada em DNS pode ajudar equipes de segurança a identificar padrões dessas operações em estágios iniciais, antes que usuários acessem páginas fraudulentas ou que invasores obtenham acesso a sessões autenticadas.
