Hackers estão alterando as configurações de DNS de dispositivos Wi-Fi em hotéis e centros de convenções para redirecionar usuários a páginas falsas de login do Microsoft 365.
A campanha está em andamento desde pelo menos junho e afeta organizações de vários setores, incluindo serviços financeiros, serviços profissionais, jurídico, saúde, energia e varejo.
A empresa de cibersegurança ReliaQuest identificou gateways Wi-Fi comprometidos em várias cidades dos Estados Unidos e também em outras regiões do mundo, como Índia e Arábia Saudita.
Como esses dispositivos atendem eventos corporativos, o sequestro de contas do Microsoft 365 pode dar aos atacantes acesso a informações sensíveis de negócios, comunicações e documentos privados.
“Observamos tráfego para esses gateways comprometidos vindo de organizações de diferentes setores, incluindo serviços financeiros, serviços profissionais, jurídico, saúde, energia e varejo, o que confirma que não se trata de um alvo específico por setor, mas de uma campanha que muito provavelmente mira funcionários em viagem, onde quer que eles se conectem”, disse a ReliaQuest.
Os pesquisadores acreditam que essa atividade é semelhante às campanhas baseadas em roteadores FrostArmada, atribuídas ao grupo de espionagem russo APT28, também conhecido como Fancy Bear e Forest Blizzard.
Ainda não está claro como foi obtido o acesso inicial aos equipamentos Wi-Fi, mas a ReliaQuest afirma que o threat actor pode ter explorado interfaces de gerenciamento expostas e mal protegidas, como SSH, SNMP e painéis administrativos web, ou vulnerabilidades.
Depois que o atacante ganha acesso de administrador, ele pode modificar as configurações de DNS do gateway para redirecionar conexões destinadas a domínios legítimos para uma infraestrutura sob seu controle.
A ReliaQuest diz que o atacante registrou pelo menos quatro domínios para montar portais falsos de login da Microsoft: m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com e ms365-live[.]com.
Com as configurações de DNS alteradas, usuários que tentassem acessar os portais legítimos da Microsoft acabariam em páginas de phishing controladas pelos hackers e digitariam suas credenciais.
Em alguns casos, os pesquisadores observaram um fluxo de autenticação por código de dispositivo, no qual os alvos eram redirecionados para uma página falsa da Microsoft com uma solicitação de aprovação.
“O que o usuário não vê é que, ao aprovar a solicitação, ele autoriza uma sessão iniciada pelo atacante”, informou a ReliaQuest.
Os pesquisadores observam que a autorização dessa solicitação faz com que um token OAuth legítimo seja emitido para o cliente do atacante.
Isso contorna a proteção de MFA sem roubar credenciais nem interceptar tokens de acesso.
Em cerca de um terço dos casos analisados, os atacantes também tentaram abusar do Web Proxy Auto-Discovery, ou WPAD, respondendo à busca automática do Windows com um arquivo de configuração automática de proxy, o PAC, malicioso.
Na teoria, isso faria o tráfego de aplicativos do Windows, incluindo o Chrome, passar por um proxy controlado pelo atacante, mas a ReliaQuest não conseguiu confirmar se esses ataques foram bem-sucedidos.
Os pesquisadores também destacaram que o uso de servidores DNS públicos, como o 8.8.8.8 do Google, não impede esse ataque, porque o gateway falsifica as solicitações em texto simples antes que elas cheguem ao resolvedor pretendido.
A ReliaQuest recomenda o uso de um VPN sempre ativo, com túnel completo, e de DNS criptografado em modo estrito como medidas sólidas de proteção contra esse tipo de ataque.
Além disso, a empresa de cibersegurança recomenda desativar o WPAD, revisar logs em busca de atividades suspeitas e desabilitar o fluxo de autenticação por código de dispositivo no Microsoft Entra ID quando ele não for necessário.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...