Pesquisadores de cibersegurança identificaram uma campanha contra o Microsoft 365 que usa um ataque de adversário no meio (AitM) para capturar sessões de autenticação e reutilizar os tokens roubados. O objetivo é invadir contas de e-mail de 79 organizações.
A Huntress observou a atividade entre 14 de julho e 22 de setembro de 2026. Nesse período, detectou 497 autenticações bem-sucedidas no Microsoft 365 nas organizações afetadas, em meio a mais de 200.000 tentativas de acesso. Ao todo, os invasores comprometeram 97 contas e registraram 48 dispositivos não autorizados no Entra.
“Em vez de tentar adivinhar senhas, o invasor reutilizou tokens de autenticação roubados das vítimas. Também rastreamos mais de 200.000 tentativas malsucedidas de acesso durante o período da campanha, originadas da faixa de endereços IP 193.26.115[.]0/24”, disseram os pesquisadores da Huntress Andrea Hatcher, Susannah Matt, Matt Poto e Andrew Schwartz.
O ataque usa uma página de autenticação AitM, que se interpõe entre as vítimas e a infraestrutura legítima da Microsoft. Ela captura as credenciais e os códigos de MFA digitados e encaminha essas informações para a página legítima de autenticação.
O objetivo final é obter o token de acesso emitido pela Microsoft após a autenticação, sem precisar contornar o MFA novamente. Em poucos minutos, o invasor reutiliza o token de “comprovação de autenticação” em seus próprios dispositivos para realizar tentativas automatizadas de acesso aos serviços do Microsoft 365.
A técnica foi batizada de “pulverização de tokens”. Nela, o invasor reutiliza vários tokens roubados em diferentes organizações, em uma abordagem semelhante à pulverização de senhas.
Depois de obter acesso, os invasores adicionaram seus próprios aplicativos autenticadores para manter a persistência. Assim, conseguem concluir desafios de MFA em novas autenticações e contornar situações em que o token da sessão roubada expira ou é revogado pela vítima.
Em pelo menos 19 organizações, os métodos de MFA já cadastrados pelas vítimas foram removidos e um novo método foi registrado até três horas após a primeira autenticação. Em um caso observado em 21 de julho de 2026, os agentes de ameaça ativaram um novo aplicativo autenticador chamado “iPhone 13” menos de 51 minutos após sequestrarem a sessão.
“Os dispositivos não autorizados cumpriam a mesma função”, disseram os pesquisadores. “O agente de ameaça registrou pelo menos 48 computadores falsos nos diretórios da Microsoft das organizações afetadas. Um dispositivo registrado pode oferecer ao invasor uma forma mais duradoura de solicitar tokens do que a sessão roubada e permanece no diretório até que alguém o exclua.”
Os invasores também foram vistos criando regras ocultas nas caixas de correio das vítimas. Com nomes como “.”, “sss”, “ss”, “iT”, “,.”, “........”, “s” e “d”, as regras apagavam mensagens recebidas com determinadas palavras-chave relacionadas a folha de pagamento, depósitos e bônus, ou as moviam para pastas pouco utilizadas, como “Feeds RSS” e “Histórico de Conversas”.
Em uma caixa de correio comprometida, uma regra marcava todas as mensagens recebidas como lidas e as apagava. A conta também foi usada para enviar mensagens não solicitadas a centenas de destinatários externos, antes de o Microsoft Entra ID Protection classificá-la como de alto risco.
Segundo a Huntress, os tokens podem vir de várias fontes, incluindo retransmissores AitM por trás de páginas falsas de autenticação, phishing com códigos de dispositivo e engenharia social durante um processo legítimo de autenticação.
A campanha foi observada pela primeira vez a partir do endereço IP romeno 193.26.115[.]221, associado, segundo o VirusTotal, a um trojan de acesso remoto chamado AsyncRAT. O endereço está vinculado à empresa alemã de hospedagem 1337 Services GmbH.
Dados da GreyNoise listam atualmente 29 endereços IP associados ao provedor. Dez foram sinalizados como maliciosos e cinco estão classificados como suspeitos. A empresa também tem vínculos com a StarkRDP e a rdp[.]sh, plataformas que permitem aos clientes alugar servidores virtuais.
Os domínios associados à StarkRDP e à rdp[.]sh foram derrubados em janeiro de 2025, junto com sites da Nulled, Cracked e Sellix, durante uma operação internacional de aplicação da lei chamada Talent. No momento da publicação, as duas plataformas estavam funcionando. A StarkRDP passou a usar o nome exy[.]sh.
“A StarkRDP sempre operou dentro da lei e não está envolvida em nenhum desses supostos crimes. O processo legal vai confirmar isso”, afirmou a conta da StarkRDP no Telegram em uma publicação de 30 de janeiro, segundo o jornalista independente de cibersegurança Brian Krebs. “As únicas coisas apreendidas foram o servidor do site e nosso domínio. Infelizmente, ninguém sabe quem os apreendeu nem com quem podemos falar sobre isso. Por isso, vamos retomar as operações em breve, com outro nome, e encerrar o capítulo da ‘StarkRDP’.”
A Huntress recomenda que organizações que suspeitem de comprometimento por reutilização de tokens revoguem as sessões e redefinam as senhas. Também devem auditar os dispositivos registrados no Entra, revisar os métodos de MFA, procurar regras inesperadas nas caixas de correio e novos aplicativos corporativos, além de restringir o fluxo de autenticação por código de dispositivo com políticas de Acesso Condicional.
“As políticas de Acesso Condicional (CAP) podem ajudar a preencher algumas lacunas de segurança que o MFA não cobre, desde que sejam configuradas corretamente”, disseram os pesquisadores da Huntress. “As empresas devem exigir MFA, ou bloquear o acesso, para todos os usuários, todos os aplicativos de nuvem e todos os tipos de aplicativos cliente, sem exceções.”
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...