Como três grupos suspeitos de ciberespionagem russa exploraram fluxos legítimos de login

Essa abordagem pode contornar a sensação de segurança normalmente associada à autenticação multifator. A vítima nem sempre entrega a senha. Em alguns casos, ela autoriza um aplicativo OAuth, cria uma senha de app ou vincula um novo dispositivo. Qualquer uma dessas ações pode abrir um caminho aparentemente legítimo para a tomada da conta.

O que cada grupo teria feito

UNC6293: falsa identidade, senhas de app e OAuth

O UNC6293 teria se passado por funcionários do Departamento de Estado dos Estados Unidos e por outros contatos de confiança. As mensagens tentavam convencer os alvos a criar e compartilhar senhas específicas de aplicativos, que podem permitir acesso à conta fora do fluxo normal de segundo fator. O GTIG também descreveu campanhas de phishing de consentimento OAuth, nas quais os invasores buscam tokens autorizados em vez de roubar diretamente a senha.

O GTIG avaliou, com confiança moderada, que o UNC6293 seria um subgrupo responsável pelo acesso inicial dentro do ICE RELIC, nome usado pelo Google para o agente anteriormente conhecido como APT29.

UNC7005, também identificado como STORM-2945: WhatsApp e iscas em várias etapas

O UNC7005 teria empregado um conjunto mais amplo e mutável de técnicas, incluindo:

• Golpes de vinculação de dispositivos no WhatsApp: as vítimas eram induzidas a vincular à própria conta um dispositivo controlado pelos invasores.
• Chamadas de voz falsas e convites para chats criptografados: essas interações ajudavam a construir confiança antes do envio de um link ou código malicioso.
• Comunicações que imitavam organizações: mensagens relacionadas ao Finnish Operations Center foram usadas junto de portais falsos de login da Microsoft.
• Abuso de OAuth e distribuição de malware: os fluxos do Google eram usados para buscar tokens ou acesso às contas, enquanto malwares como VIDAR e ATOMIC infostealers também eram empregados.

As técnicas e a infraestrutura do UNC7005 diferiam das utilizadas pelo UNC6293. Por isso, o GTIG acompanha os dois separadamente, apesar da sobreposição nos alvos e no uso de fluxos legítimos de autenticação.

UNC5976: phishing de OAuth contra alvos ligados à defesa

O UNC5976 teria se concentrado em militares e profissionais e organizações dos setores aeroespacial e de defesa, incluindo alvos relacionados à Ucrânia e à Armênia. Suas campanhas de phishing buscavam obter autorização por OAuth para acessar contas ou dados das vítimas.

O que o GTIG disse sobre a ligação com a Rússia

O GTIG avaliou, com alto grau de confiança, que a atividade tinha um nexo russo. Essa é uma avaliação de atribuição; não significa que todos os detalhes operacionais ou todas as relações entre os grupos estejam comprovados com o mesmo nível de certeza.

Os relatos disponíveis também descrevem possíveis vínculos entre parte da atividade e o ICE RELIC/APT29. A avaliação que relaciona o UNC6293 ao ICE RELIC foi feita com confiança moderada. Os grupos continuam sendo rastreados separadamente porque suas técnicas e infraestruturas não são idênticas.

Por que a autenticação multifator, sozinha, não basta

A autenticação multifator continua sendo uma camada importante de proteção, mas pode ser neutralizada quando o invasor manipula o usuário para aprovar a ação errada. Uma tela inesperada de consentimento OAuth, um pedido para criar uma senha de aplicativo ou um código de vinculação do WhatsApp pode indicar uma tentativa de tomar a conta, mesmo que nenhuma senha tenha sido roubada.

A lição prática é tratar cada solicitação de autenticação como uma transação que precisa ser verificada — e não como uma etapa automaticamente segura apenas porque aparece dentro de um serviço conhecido.

Como reduzir o risco

A orientação do GTIG é desacelerar justamente os fluxos que os invasores tentam apressar:

• Confira o endereço completo no navegador antes de fazer login ou aprovar o acesso de um aplicativo OAuth.
• Verifique convites e solicitações por outro canal. Use um meio de contato já conhecido para confirmar convites de conferências, chamadas de voz, pedidos para entrar em chats criptografados e mensagens supostamente enviadas por governos ou organizações.
• Nunca compartilhe senhas de aplicativos, códigos únicos de verificação, códigos QR ou códigos de vinculação de dispositivos. Também não aprove um login ou pedido OAuth inesperado.
• Revise regularmente os dispositivos vinculados ao WhatsApp e a outros aplicativos de mensagens e remova os que não reconhecer.
• Adote autenticação multifator resistente a phishing. Organizações devem priorizar chaves de segurança ou passkeys e, quando possível, restringir aplicativos OAuth arriscados e o uso de senhas específicas de aplicativos.

Para quem trabalha em setores sensíveis, a regra mais importante é simples: uma marca conhecida, uma página de login real ou um recurso legítimo de autenticação não prova que a solicitação é confiável. É preciso verificar também o pedido em si e a pessoa ou organização que o iniciou.