A Armadilha da Licitação: Como Campanhas de Sequestro de Sessão do Microsoft 365 Burlam o MFA Usando Caixas de Entrada do Outlook Comprometidas

Características principais da campanha:

• Vetor de ataque: Os atacantes comprometem sites legítimos de pequenas empresas e contas do Outlook para hospedar e distribuir os links de phishing, fazendo com que a infraestrutura pareça confiável .
• Alvos: A campanha tem como alvo explícito universidades, empresas e instituições multinacionais, incluindo agências da União Europeia e das Nações Unidas .
• Múltiplos kits AiTM em uso: Os criminosos alternam entre vários kits de "phishing como serviço" (PhaaS):
  • EvilProxy: um kit que intercepta cookies de sessão para burlar códigos SMS, aplicativos autenticadores e notificações push .
  • FlowerStorm: uma operação PhaaS amplamente ativa que recentemente adotou ofuscação por máquina virtual baseada em navegador para evadir defesas de e-mail .
  • Kali365: uma plataforma PhaaS vista pela primeira vez em abril de 2026, distribuída via Telegram e que usa phishing de código de dispositivo para capturar tokens de sessão sem precisar de senhas ou códigos MFA .
• Domínios algorítmicos registrados em massa: São usados para criar um grande volume de URLs de phishing que rotacionam rapidamente, dificultando a inclusão em listas de bloqueio .

Como o Ataque Funciona (Mecanismo Técnico)

O atacante configura um site de phishing intermediário que atua como um proxy reverso ao vivo entre a vítima e os serviços legítimos de autenticação do Microsoft 365 . Quando a vítima insere suas credenciais e completa o MFA, o proxy captura o cookie de sessão resultante antes que ele chegue ao navegador da vítima. O atacante então importa esse cookie para o seu próprio navegador e ganha acesso total ao Exchange Online, SharePoint, OneDrive e qualquer aplicativo federado da vítima .

Múltiplas fontes descrevem o mesmo mecanismo central: o proxy cria uma comunicação bidirecional em tempo real, enquanto o phishing tradicional apenas clona páginas de login e rouba credenciais . Como o token de sessão prova que o usuário já passou pelo MFA, o atacante nunca precisa "quebrar" o MFA em si .

Por que o MFA Padrão Não é Suficiente

A própria documentação da Microsoft alerta que o phishing AiTM derrota métodos comuns de MFA, como códigos SMS, notificações push de aplicativos autenticadores e tokens TOTP . O cookie de sessão emitido após a conclusão do MFA é o prêmio: se roubado, pode ser reproduzido de qualquer dispositivo, em qualquer lugar, até que o token expire ou seja revogado administrativamente.

O relatório da Infoblox enfatiza que o MFA tradicional é insuficiente porque os proxies AiTM roubam o token de sessão emitido após a conclusão do MFA . O problema subjacente é arquitetônico: o proxy se coloca entre o usuário e o ponto de autenticação real de uma forma que o MFA clássico não consegue detectar.

Defesas Além do MFA Recomendadas pela Infoblox

A Infoblox recomenda uma estratégia de defesa em camadas que não depende do MFA como um único ponto de falha. As principais recomendações são:

1. Segurança em nível de DNS: Bloquear domínios maliciosos conhecidos e domínios algorítmicos recém-registrados no nível do DNS para desarticular a infraestrutura de phishing antes que os usuários a acessem .
2. Credenciais resistentes a phishing: Implementar chaves de segurança de hardware FIDO2/WebAuthn ou Windows Hello for Business. Estas usam criptografia de chave pública vinculada a uma origem específica. Um proxy AiTM não consegue encaminhar desafios FIDO2 porque a asserção criptográfica está ligada ao domínio do site legítimo, e não ao proxy.
3. Políticas de Acesso Condicional: Reforçar políticas rigorosas de risco de login no Microsoft Entra ID, como exigir vinculação de token (token binding), bloquear logins de locais ou dispositivos incomuns e encurtar o tempo de vida das sessões para reduzir a janela de reutilização do cookie.
4. Gerenciamento de exposição e monitoramento de marca: Detectar proativamente domínios de phishing que se passam pela organização e remover a infraestrutura antes que os usuários encontrem as iscas .
5. Conscientização e relato de segurança: Treinar os usuários para reconhecer iscas de phishing com temas de licitações e relatar e-mails suspeitos, permitindo uma resposta mais rápida do Centro de Operações de Segurança (SOC).

O FBI também alertou especificamente sobre o Kali365, aconselhando as organizações a auditar seus métodos de MFA, revisar logs de login em busca de fluxos de código de dispositivo anômalos e considerar bloquear a autenticação de código de dispositivo para todos os usuários, exceto aplicativos confiáveis .

Limitações das Evidências e Escopo

O relatório da Infoblox é a fonte primária para o nome da campanha, o direcionamento a instituições da UE/ONU e o uso de caixas de entrada do Outlook e sites de pequenas empresas comprometidos. Reportagens secundárias confirmam de forma independente os alvos e a alternância de kits.

O componente Kali365 é confirmado de forma independente pelo aviso público do FBI e por fornecedores de segurança como a Huntress e a Paubox , mas o relatório da Infoblox o agrupa junto com EvilProxy e FlowerStorm sob a mesma infraestrutura temática de licitações.

As recomendações defensivas combinam declarações diretas do relatório da Infoblox com práticas recomendadas bem estabelecidas no setor, documentadas em várias fontes . Nenhum parágrafo individual nas fontes enumera cada item defensivo em formato de lista; a lista acima sintetiza as orientações encontradas em todo o material citado.

Conclusão

"The Procurement Trap" ilustra uma tendência crescente: os criminosos não estão tentando quebrar o MFA — eles estão simplesmente ignorando-o completamente, roubando os cookies de sessão emitidos após a autenticação bem-sucedida. Contramedidas técnicas, como chaves de hardware FIDO2 e bloqueio de domínios em nível de DNS, podem reduzir significativamente a exposição, mas a primeira linha de defesa continua sendo a vigilância do usuário. Organizações que usam o Microsoft 365 devem revisar seus logs de autenticação em busca de padrões inesperados de código de dispositivo ou AiTM e implementar credenciais resistentes a phishing como uma prioridade.