Golpe do APT29: Como hackers russos burlam a autenticação em duas etapas do Gmail

O grupo de hackers patrocinado pelo Estado russo APT29 (também conhecido como Cozy Bear) desenvolveu uma nova técnica preocupante: burlar a autenticação em duas etapas (2FA) do Gmail usando apenas métodos de engenharia social, eliminando a necessidade de malware em operações de roubo de credenciais.

De acordo com pesquisadores de cibersegurança que monitoram as atividades do grupo, o APT29 tem conduzido campanhas direcionadas contra críticos internacionais das políticas russas e acadêmicos que estudam assuntos da Europa Oriental. Os ataques seguem um roteiro em várias etapas que representa uma evolução significativa nas técnicas de roubo de credenciais.

A metodologia do ataque começa com um extenso reconhecimento para identificar alvos de alto valor. Os operadores então iniciam o que parece ser uma comunicação profissional legítima, muitas vezes se passando por jornalistas, colegas pesquisadores ou organizadores de conferências. Essas interações são projetadas para construir confiança ao longo de semanas ou meses usando táticas personalizadas de engenharia social.

Uma vez estabelecida a relação, os atacantes guiam as vítimas por um processo cuidadosamente elaborado para obter senhas específicas de aplicativo (ASPs) - um recurso do Google que permite que aplicativos legados acessem contas do Gmail sem solicitar 2FA. Ao convencer as vítimas a gerar ou revelar essas ASPs, os invasores obtêm acesso persistente que ignora todas as proteções de autenticação em duas etapas.

Esta técnica é particularmente preocupante porque:

1. Não deixa rastros de malware para sistemas de detecção
2. Explora recursos legítimos da conta em vez de vulnerabilidades
3. O acesso persiste mesmo após a redefinição de senha (até que as ASPs sejam revogadas)
4. Burlam chaves de segurança física e outros métodos robustos de 2FA

As equipes de segurança devem observar que este vetor de ataque visa especificamente:

• Contas do Google Workspace com 2FA ativado
• Usuários que geraram senhas específicas de aplicativo
• Organizações com monitoramento limitado do uso de ASPs

Recomendações de proteção incluem:

• Desativar senhas específicas de aplicativo quando possível
• Implementar limites de duração de sessão
• Monitorar padrões incomuns de uso de ASPs
• Realizar treinamentos de conscientização sobre esta ameaça específica

O surgimento desta técnica demonstra como ameaças persistentes avançadas estão adaptando seus métodos para contornar controles de segurança modernos. À medida que as organizações adotam cada vez mais a autenticação em duas etapas, os atacantes estão encontrando maneiras criativas de burlar essas proteções através da manipulação humana em vez de explorações técnicas.