Skyw4lker: campanha de phishing por código de dispositivo visa contas Microsoft 365 nos EUA

Uma campanha de phishing identificada como Skyw4lker está a assumir discretamente o controlo de contas Microsoft 365 em organizações norte-americanas, sem recorrer a uma única página de início de sessão falsa. Em vez de roubar uma palavra-passe, os atacantes convencem a vítima a concluir um início de sessão genuíno da Microsoft que o próprio atacante iniciou. O resultado é um token de sessão válido, emitido pela Microsoft, nas mãos de um criminoso.

O que aconteceu

A Skyw4lker tem-se concentrado em empresas de indústria, tecnologia e saúde, sobretudo nos Estados Unidos. O isco é feito para parecer papelada corrente: um documento protegido por palavra-passe, apresentado como contrato, proposta de serviços ou acordo com um fornecedor. Em ambientes onde os colaboradores trocam diariamente cadernos de encargos e documentos de compras, nada parece fora do comum.

Ao abrir o documento, a vítima é enviada para uma página alojada no Google Sites, um serviço legítimo que raramente dispara os filtros web. A partir daí, a página encaminha o utilizador para um fluxo de autenticação real da Microsoft e pede-lhe que introduza um código curto para "permitir o acesso" ao documento.

Esse código é a armadilha. O atacante já iniciou um pedido de autorização por código de dispositivo junto da Microsoft. Quando a vítima escreve o código na página real da Microsoft e aprova o início de sessão, a Microsoft emite os tokens de acesso e de atualização da conta da vítima para a sessão do atacante. Nenhuma credencial é escrita numa página de phishing e, em muitas configurações, o requisito de MFA fica satisfeito pelo caminho.

Nos bastidores, o kit de phishing executa JavaScript ofuscado e um backend em PHP. Cria uma sessão por vítima, regista o endereço IP e a geolocalização e consulta repetidamente o backend até a Microsoft confirmar que o início de sessão foi concluído.

Nas amostras analisadas até agora, perto de metade das submissões teve origem nos Estados Unidos, seguidos pela Índia, Canadá, Reino Unido e Filipinas.

Porque é que isto importa

O phishing por código de dispositivo foi pensado para organizações que já investiram em MFA e em segurança de identidade. O ataque nunca precisa de imitar a experiência de login da Microsoft, porque o login é real. O que os registos de identidade vão mostrar é uma autenticação bem-sucedida e legítima, muitas vezes com MFA satisfeito, e nada no próprio evento a assinala como maliciosa.

Por isso é difícil apanhá-lo apenas com telemetria de identidade. Reconstituir o que realmente aconteceu implica ligar o e-mail, o documento, o redirecionamento pelo Google Sites, o fluxo de autenticação e a infraestrutura do atacante numa única cronologia. A inspeção estática do documento revela apenas o URL de partida. O comportamento malicioso só surge quando a página corre num browser.

Para um prestador de cuidados de saúde ou um fabricante, uma caixa de correio Microsoft 365 comprometida pode expor dados de doentes, propriedade intelectual, comunicações com fornecedores e o tipo de contexto interno que torna muito mais convincente uma fraude de faturas posterior ou um ataque de ransomware.

O phishing continua entre as categorias de crime na internet mais denunciadas nos Estados Unidos, e as perdas reportadas sobem ano após ano. A Skyw4lker mostra que a técnica evolui mais depressa do que a maioria dos programas de sensibilização.

O que fazer

• Restringir o fluxo por código de dispositivo. No Microsoft Entra ID, use uma política de Conditional Access sobre fluxos de autenticação para bloquear inícios de sessão por device code aos utilizadores que não precisam deles. A maioria dos trabalhadores de escritório nunca precisa.
• Reforçar o Conditional Access. Exija dispositivos conformes ou em modo híbrido para aceder ao Microsoft 365 e limite inícios de sessão a partir de países inesperados, para que um token obtido por este fluxo seja muito menos útil.
• Procurar nos registos de início de sessão. Filtre os eventos do Entra pelo protocolo de autenticação "Device Code" e reveja cada ocorrência, sobretudo as seguidas de uma localização nova, novas regras de caixa de correio ou consentimentos de aplicações.
• Rever a telemetria web e de e-mail à procura de anexos "contrato" ou "proposta" protegidos por palavra-passe e de redirecionamentos para páginas do Google Sites que terminam num início de sessão da Microsoft.
• Responder depressa à suspeita. Revogue os tokens de atualização, reponha a palavra-passe e reveja as regras de reencaminhamento da caixa de correio e as aplicações registadas na conta afetada.
• Avisar os utilizadores de que a Microsoft nunca lhes pedirá para escrever um código numa página de início de sessão para abrir um documento. Um pedido de código é um sinal de alarme, não uma formalidade.

Falhas de configuração como um fluxo de device code deixado aberto ou uma cobertura incompleta do Conditional Access são exatamente o que a nossa equipa de penetration testing procura ao avaliar um tenant Microsoft 365, para que uma campanha como a Skyw4lker encontre uma porta fechada e não um início de sessão aberto.