Kit de phishing furtivo 2FA: ameaça perigosa à segurança online

A autenticação de dois fatores (2FA) tem sido uma medida de segurança confiável para proteger contas de usuários há muito tempo. No entanto, uma ferramenta sofisticada de phishing chamada Sneaky 2FA surgiu, visando contas protegidas por 2FA explorando a confiança em medidas de segurança. Identificado pela primeira vez no final de 2024, este kit mostra a evolução dos ataques de phishing, destacando a necessidade de práticas robustas de segurança online.

O que é o Sneaky 2FA Phishing Kit?

Sneaky 2FA é uma ferramenta avançada de phishing-as-a-service (PhaaS) projetada para roubar credenciais e códigos 2FA, visando principalmente contas do Microsoft 365. Desenvolvido e vendido por meio de um serviço baseado no Telegram chamado "Sneaky Log", o kit permite que os criminosos cibernéticos realizem campanhas de phishing com o mínimo de esforço técnico. Por US$ 200 por mês, os clientes recebem acesso a uma versão licenciada e ofuscada do código-fonte, que eles implantam de forma independente.

Esta ferramenta de phishing ganhou força entre os cibercriminosos, com pesquisadores identificando quase 100 domínios hospedando páginas de phishing Sneaky 2FA. Recursos como entrada automatizada de endereço de e-mail em páginas de phishing aprimoram sua funcionalidade, fazendo com que os prompts de login falsos pareçam mais legítimos.

O propósito por trás do 2FA furtivo

O objetivo principal do Sneaky 2FA é coletar credenciais de login e códigos 2FA. Armados com essas informações, os invasores podem ignorar as medidas de segurança da conta, potencialmente obtendo acesso não autorizado a dados confidenciais ou usando as contas comprometidas para executar outros ataques, como comprometimento de e-mail comercial (BEC).

Para atrair vítimas, os invasores geralmente enviam e-mails com recibos de pagamento falsos, induzindo os destinatários a abrir arquivos PDF maliciosos contendo códigos QR. A varredura desses códigos redireciona os usuários para páginas de phishing que imitam telas legítimas de autenticação da Microsoft.

Um kit de ferramentas enganoso e resiliente

O que diferencia o Sneaky 2FA é seu design sofisticado. As páginas de phishing são hospedadas em sites WordPress comprometidos ou outros domínios controlados por invasores, garantindo ampla disponibilidade. Para evitar a detecção, o kit emprega várias técnicas, incluindo:

• Filtragem de tráfego: garante que apenas usuários segmentados acessem as páginas de roubo de credenciais.
• Desafios do Cloudflare Turnstile: Ajuda a bloquear bots e ferramentas automatizadas.
• Recursos antianálise: resiste à análise das ferramentas de desenvolvimento do navegador.

Além disso, o kit redireciona usuários identificados como bots, proxies ou usuários de VPN para páginas legítimas da Wikipédia relacionadas à Microsoft, mascarando ainda mais suas atividades.

Links para outras ferramentas de phishing

Pesquisadores encontraram similaridades entre o Sneaky 2FA e outros kits de phishing, como o W3LL Panel, uma ferramenta associada a ataques de comprometimento de e-mail empresarial. Parte do código do Sneaky 2FA parece ser derivado de ferramentas anteriores, embora seus desenvolvedores tenham adicionado recursos exclusivos.

Curiosamente, domínios associados a kits de phishing mais antigos, como Evilginx2 e Greatness, foram redirecionados para o Sneaky 2FA, sugerindo que alguns criminosos cibernéticos migraram para esse serviço mais novo.

Implicações do 2FA furtivo

O surgimento do Sneaky 2FA ressalta a adaptabilidade dos ataques de phishing e seu impacto potencial. Ao mirar contas protegidas por 2FA, essa ferramenta prejudica uma das camadas de segurança mais confiáveis. Contas comprometidas podem levar a violações de dados, transações não autorizadas e danos à reputação de organizações e indivíduos afetados.

Além disso, a disponibilidade dessas ferramentas por meio de modelos PhaaS reduz a barreira de entrada para criminosos cibernéticos, permitindo que até mesmo aqueles com conhecimento técnico limitado lancem ataques sofisticados.

Como o Sneaky 2FA opera

Um aspecto notável do Sneaky 2FA é sua dependência de um servidor central para verificar o status da licença de seus clientes. Este modelo de licenciamento garante que apenas assinantes pagantes possam acessar e usar o kit. As próprias páginas de phishing usam imagens borradas de interfaces legítimas da Microsoft, enganando os usuários a pensar que são telas de login autênticas.

A ferramenta também incorpora strings User-Agent codificadas que mudam durante diferentes estágios do processo de autenticação. Essas strings imitam certos comportamentos legítimos, mas desviam o suficiente para ajudar pesquisadores de segurança a detectá-los.

Permanecendo vigilante contra ataques de phishing

Embora o Sneaky 2FA represente uma ameaça avançada, seu sucesso depende de enganar os usuários. Reconhecer os sinais de campanhas de phishing é crucial:

• Tenha cuidado com e-mails não solicitados, especialmente aqueles com assuntos ou anexos relacionados a pagamentos.
• Evite escanear códigos QR de fontes desconhecidas.
• Verifique os URLs antes de inserir as credenciais de login, garantindo que eles pertençam a sites legítimos.

As organizações também devem educar os funcionários sobre táticas de phishing e implementar medidas de segurança adicionais, como chaves de segurança de hardware, para fortalecer a 2FA.

Conclusão

A ascensão de ferramentas como Sneaky 2FA destaca a necessidade contínua de vigilância no cenário digital. Ao entender como esses kits de phishing operam e adotar práticas de segurança proativas, indivíduos e organizações podem se proteger melhor contra ameaças em evolução. Embora o 2FA continue sendo uma medida de segurança vital, é essencial se manter informado e se adaptar aos novos desafios na luta contra o crime cibernético.