Microsoft desmantela império de phishing Raccoon0365 em operação global

A Microsoft executou uma desativação global abrangente da operação de phishing como serviço (PhaaS) Raccoon0365, eliminando uma empresa criminosa sofisticada que comprometeu milhares de credenciais de usuários em todo o mundo. A operação resultou na apreensão de 340 domínios maliciosos que eram ativamente usados para hospedar páginas de login fraudulentas da Microsoft 365.

O serviço Raccoon0365 operava como uma plataforma criminosa baseada em assinatura, distribuída principalmente através de canais do Telegram direcionados a cibercriminosos de língua inglesa. Por uma taxa mensal variando entre US$ 50 e US$ 150, os assinantes obtinham acesso a kits de phishing personalizáveis, serviços de hospedagem e ferramentas automatizadas de coleta de credenciais. A infraestrutura do serviço era notavelmente sofisticada, com balanceamento de carga entre múltiplos domínios para manter a persistência e evitar detecção.

De acordo com a Unidade de Crimes Digitais da Microsoft, a operação com base na Nigéria estava ativa desde pelo menos o início de 2024 e havia comprometido credenciais de organizações dos setores financeiro, de saúde, agências governamentais e manufatureiro. As campanhas de phishing direcionavam especificamente usuários da Microsoft 365, criando páginas de login réplica convincentes que capturavam nomes de usuário, senhas e códigos de autenticação multifator.

A investigação técnica revelou que o Raccoon0365 empregava técnicas avançadas de evasão, incluindo algoritmos de geração de domínios, falsificação de certificados SSL e redirecionamento baseado em geolocalização. Os operadores do serviço mantinham um sistema de suporte ao cliente de aparência profissional através do Telegram, fornecendo assistência técnica aos assinantes e até oferecendo garantias de devolução do dinheiro para clientes insatisfeitos.

A operação de desmantelamento da Microsoft foi coordenada através do tribunal do Distrito Norte da Geórgia, que concedeu autoridade para apreender o controle dos domínios maliciosos. A Cloudflare desempenhou um papel crucial na operação, fornecendo análise de infraestrutura e apoiando o processo de apreensão de domínios. A colaboração demonstra a eficácia crescente das parcerias público-privadas no combate ao cibercrime.

O impacto desta desativação vai além da interrupção imediata do Raccoon0365. Pesquisadores de segurança observaram que plataformas PhaaS como o Raccoon0365 reduzem significativamente as barreiras de entrada para cibercriminosos, permitindo que até mesmo agentes de ameaça tecnicamente pouco sofisticados lancem campanhas de phishing eficazes. O modelo de assinatura do serviço atraía particularmente marketers de afiliados e cibercriminosos de baixo escalão que não tinham habilidades técnicas para desenvolver sua própria infraestrutura de phishing.

A Microsoft notificou organizações afetadas através de sua plataforma Microsoft Defender Threat Intelligence e recomenda que todas as organizações implementem políticas de acesso condicional, apliquem autenticação multifator e realizem treinamentos regulares de conscientização em segurança. A empresa também aconselha monitorar tentativas de autenticação suspeitas e implementar autenticação sem senha quando possível.

Esta operação representa a mais recente em uma série de desativações bem-sucedidas direcionadas a infraestruturas criminosas. No entanto, especialistas em segurança alertam que o ecossistema PhaaS permanece altamente resiliente, sendo provável que novos serviços surjam para preencher o vazio deixado pela interrupção do Raccoon0365. A comunidade de cibersegurança deve manter a vigilância e continuar desenvolvendo capacidades avançadas de detecção para combater o cenário de ameaças de phishing em evolução.

O estudo de caso do Raccoon0365 fornece insights valiosos sobre a economia do cibercrime, demonstrando como empresas criminosas estão adotando modelos de negócio semelhantes a provedores legítimos de software como serviço. Esta tendência toward a profissionalização de ferramentas de cibercrime requer estratégias de defesa igualmente sofisticadas e maior cooperação internacional entre agências de aplicação da lei.