Pesquisadores de cibersegurança divulgaram detalhes de um novo kit de phishing do tipo adversary-in-the-middle (AitM), chamado NovaCookies, usado como um proxy para redirecionar logins do Microsoft 365 enquanto captura sessões autenticadas no processo.
Em relatório compartilhado com portais de notícia antes da publicação, a Island classificou o serviço, vendido por US$ 320 por mês, como uma plataforma de phishing por assinatura que viabiliza o roubo de sessões do Microsoft 365 em tempo real. Até agora, o kit já foi usado contra centenas de organizações em diferentes setores nos Estados Unidos, no Reino Unido, no Canadá, na Alemanha, em Israel e nos Emirados Árabes Unidos.
“Nas campanhas observadas, envelopes legítimos do Docusign foram usados para distribuir iscas falsas de compartilhamento de documentos, com alguns cliques encaminhados por endpoints legítimos de login da Microsoft ou do Google como etapas de redirecionamento antes de chegar ao kit”, disse a Island. “A mensagem, o serviço de documentos e o redirecionamento podem, portanto, parecer confiáveis até que o navegador alcance a infraestrutura controlada pelo atacante.”
Assim como outros kits de phishing AitM, o NovaCookies foi projetado para intermediar a autenticação do Microsoft 365 por meio de infraestrutura controlada pelo atacante, atuando como proxy e capturando a sessão resultante depois que a vítima insere sua senha e os códigos de MFA.
Evidências indicam que o NovaCookies é anunciado via Telegram, serviço de mensagens que também é usado como infraestrutura para gerenciar perfis de clientes, configurar serviços de redirecionamento e fornecer suporte. Segundo a Proofpoint, o NovaCookies é considerado uma variante do kit de phishing Sneaky 2FA.
“Embora o Sneaky2FA original parecesse focar principalmente contas da Microsoft, a variante NovaCookies inclui fluxos dedicados para outros provedores de identidade, incluindo Okta, e domínios Entra federados ao GoDaddy”, observou a Proofpoint em uma publicação no X no mês passado.
“Diferentemente do Sneaky2FA, o NovaCookies usa um modelo totalmente gerenciado de phishing-as-a-service (PhaaS), no qual afiliados pagam para usar a plataforma, e a infraestrutura é hospedada centralmente pelo operador do PhaaS, e não por cada afiliado.”
Muitos dos domínios usados nas iscas do NovaCookies foram encontrados hospedados no domínio “.vu”, por exemplo, “fordmotbvmorcompany[.]vu”, com URLs de phishing exibindo rótulos em maiúsculas e minúsculas alternadas, como PwPt-sHaRe, Ms36-AcCeSs e ClOd-ViEw, numa tentativa de se passar por serviços legítimos da Microsoft.
Uma das cadeias de ataque usa notificações do Docusign como isca para levar as vítimas às páginas de phishing, enquanto contorna verificações de autenticação do remetente e de reputação ao explorar o fato de que o e-mail é uma notificação genuína do Docusign. O conteúdo malicioso é o documento compartilhado pelo serviço.
“Apresentado como um aviso de compartilhamento do Docusign, ele afirmava que um departamento de contabilidade havia compartilhado um PDF de aviso de pagamento e convidava o destinatário a abri-lo”, disse a Island. “O destino malicioso ficava dentro do documento, abaixo da camada que a maioria dos produtos de segurança de e-mail inspeciona.”
Em seguida, o ataque emprega uma técnica de redirecionamento por erro de OAuth detalhada pela Microsoft no início de março para conduzir as vítimas à infraestrutura controlada pelo atacante. A infraestrutura de phishing operada pelo NovaCookies é um relay AitM em tempo real, projetado para capturar credenciais e informações da sessão e repassá-las à Microsoft em tempo real.
A oferta comercial também destaca várias verificações anti-análise para escapar de scanners de segurança antes de exibir o falso formulário de login que imita o Microsoft 365. Isso inclui uma barreira da Cloudflare e um mecanismo para detectar tentativas de execução associadas a ferramentas de depuração.
“O NovaCookies foi construído para que cada salto pareça legítimo por si só: um serviço de entrega confiável, um redirecionamento de provedor de identidade e, depois, uma página de login familiar”, disse a Island. “Essas peças muitas vezes aparecem em ferramentas diferentes. O navegador é o ponto em que elas se tornam um único evento.”
A divulgação ocorre enquanto kits PhaaS continuam sendo um serviço de assinatura lucrativo no submundo do cibercrime, permitindo que criminosos com pouco ou nenhum conhecimento técnico lancem campanhas de phishing em escala. Entre os novos serviços surgidos nos últimos meses estão:
- AnonyMousKIT, ativo desde o início de 2024, que usa táticas de vishing com apoio de IA para atingir donos de dispositivos roubados, fingindo ser o suporte da Apple e pedindo que informem o código do aparelho, o Apple ID e um código de 2FA de 6 dígitos em domínios falsos embutidos em e-mails, com o objetivo de desativar o Activation Lock e revender o dispositivo. O serviço obtém as informações de contato do proprietário fornecidas pelo recurso Lost Mode e as usa para entrar em contato por e-mail, SMS, WhatsApp ou ligação telefônica.
- p1bot.io, uma plataforma de vishing-as-a-service que usa recursos de texto para fala da ElevenLabs para gerar prompts de Resposta de Voz Interativa (IVR) em inglês, francês ou espanhol, reproduzi-los para as vítimas durante a chamada e capturar em tempo real os dígitos pressionados no teclado, como PINs, OTPs ou números de conta.
- Bluekit, que anuncia mais de 40 modelos de sites, compra e registro automatizados de domínios, suporte a 2FA, falsificação, emulação de geolocalização, notificações do Telegram e do navegador, camuflagem antibot e complementos como assistente de IA, clonagem de voz e um remetente de e-mail.
- ATHR, que usa agentes de vishing com IA, painéis de captura de credenciais e remetentes de phishing integrados para executar e escalar ataques do tipo telephone-oriented attack delivery (TOAD).
- ZeroTokens, que permite se passar por 53 marcas de instituições financeiras para roubar credenciais, dados de identidade, detalhes de pagamento e códigos de verificação. O serviço usa dez domínios de remetente, quatro em “.com” e seis em “.asia”, além de nove contas da SendGrid para contornar verificações SPF, DKIM e DMARC.
- iAuthFlow V2, que usa um relay browser-in-the-middle (BitM) para transformar um acesso temporário obtido por uma sessão do Google comprometida em acesso persistente, registrando uma passkey controlada pelo atacante. Ele é anunciado por US$ 10.000 no pacote básico, com módulos adicionais vendidos separadamente, além de outras versões para Microsoft, iCloud e LinkedIn.
- LinXcoded, também chamado Mirage2FA, que usa remetentes comprometidos, evasão de análise e relays em tempo real do Microsoft 365 para capturar sessões autenticadas. As mensagens de phishing que usam o kit se originam de locatários Microsoft 365 comprometidos e autenticados e carregam o payload como um anexo HTML, em vez de um link no corpo da mensagem, para escapar de controles de segurança de e-mail.
- Matrix, que compartilha a mesma linhagem do Sneaky 2FA e permite phishing de credenciais do Microsoft 365 por meio de um coletor AitM. As mensagens de phishing que usam o kit empregam notificações do OneDrive que solicitam ao destinatário a abertura de um documento compartilhado.
- ARToken, que rouba tokens do Microsoft 365 por meio do fluxo OAuth de código do dispositivo e facilita a tomada total da conta por meio de e-mails de phishing com tema de fatura enviados de uma caixa de correio legítima do Google Workspace ou do Microsoft 365 comprometida, que apontam para um compartilhamento anônimo de arquivo no SharePoint hospedado em um locatário terceirizado comprometido. O compartilhamento contém um arquivo Windows Internet Shortcut que exibe uma solicitação de verificação de identidade para executar o phishing de código do dispositivo.
- Blacksite, que combina um kit de proxy reverso AitM com o Cloaked.gg, um serviço de camuflagem, para esconder páginas de phishing de análises automatizadas de URLs e exibir iscas inofensivas para scanners. O kit foi projetado para interceptar tokens de autenticação, cookies de sessão e códigos de 2FA de uso único em tempo real.
- Balonx Sistema, uma operação mexicana de PhaaS que mira mais de 20 instituições financeiras no país com interação em tempo real via WebSocket com a vítima, um trojan de acesso remoto (RAT) para Android baseado no Spyroid e um componente avançado de vishing orientado por IA, chamado CallFlow, que automatiza fraudes por voz usando fala sintética e modelos de linguagem de grande porte (LLMs). Mais de 1.100 credenciais de usuários e informações financeiras foram coletadas desde pelo menos outubro de 2025.
- EvilTokens, que oferece um kit pronto de phishing de código do dispositivo da Microsoft e serviços maliciosos de análise com IA que permitem aos clientes identificar dados valiosos para campanhas de fraude e golpes.
- Forg365, que combina phishing de código do dispositivo, táticas AitM, evasão antibot, criação de iscas com apoio de IA e operações de caixa de entrada pós-comprometimento para mirar contas do Microsoft 365.
As descobertas também ocorrem após a observação de um threat actor identificado como DOUBLOON DREDGER abusando de contas do Notion para convidar alvos a visualizar um PDF que contém um link malicioso, cujo clique os leva a uma página de captura de código do dispositivo do EvilTokens.
“Eles abusam do Notion para obter acesso a um remetente de e-mail legítimo, uma infraestrutura confiável e um local para hospedar um PDF malicioso”, disse a Sublime. “Eles usam um construtor de PDF que inclui dois a três links sobrepostos, tentando escapar de ferramentas defensivas e detecções, ao mesmo tempo em que potencialmente aumenta a vida útil de qualquer PDF malicioso com infraestrutura redundante.”
“O payload da página de destino usa uma técnica de ofuscação e criptografia em JavaScript semelhante às recentes campanhas de captura de código do dispositivo do Tycoon 2FA.”
Suspeita-se, com baixa confiança, que o DOUBLOON DREDGER tenha obtido acesso tanto ao EvilTokens quanto ao Tycoon 2FA e, depois, use seu próprio JavaScript personalizado de primeira fase antes dos kits PhaaS. Acredita-se que o threat actor seja motivado financeiramente.
“O EvilTokens representa uma mudança estrutural no mercado de PhaaS. Plataformas anteriores comoditizavam a frente do ataque: a isca, a página de destino, a captura de credenciais”, disse o pesquisador de segurança da Flare, Assaf Morag. “O EvilTokens comoditiza o que vem depois.”
“Ao automatizar a análise da caixa de entrada, o mapeamento de stakeholders e as mensagens de fraude geradas por IA, ele remove a barreira de habilidade que antes separava um token capturado de uma fraude financeira bem-sucedida. Um afiliado já não precisa entender as táticas de business email compromise, porque a plataforma fornece isso como recurso.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...