Hackers estatais exploram redirecionamentos OAuth para violar sistemas governamentais

Uma nova fronteira no ciberespionagem surgiu, com hackers apoiados por estados agora explorando sistematicamente um mecanismo fundamental de confiança da web moderna—o OAuth—para contornar até as defesas mais robustas. A equipe de Threat Intelligence da Microsoft descobriu uma campanha sofisticada, atribuída a um grupo de ameaça persistente avançada (APT) rastreado como SloppyLemming, que está aproveitando concessões de consentimento de aplicativos OAuth maliciosos para infiltrar redes governamentais no sul da Ásia. Essa técnica marca uma guinada perigosa em relação ao phishing tradicional de credenciais, permitindo que os atacantes operem com tokens de acesso autorizados em vez de senhas roubadas, neutralizando efetivamente as proteções de autenticação multifator (MFA).

A cadeia de ataque começa com e-mails de phishing altamente direcionados, elaborados para parecer comunicações governamentais ou internas legítimas, enviados a funcionários do Paquistão e de Bangladesh. Em vez de direcionar as vítimas para uma página de login falsa, os e-mails contêm links que iniciam um fluxo de autorização OAuth. O usuário é redirecionado para uma página de login da Microsoft perfeitamente falsificada, que então solicita consentimento para que um aplicativo malicioso—frequentemente disfarçado de ferramenta de produtividade ou segurança legítima—acesse os dados do Microsoft 365 do usuário, incluindo e-mail, calendário e contatos.

Aqui está o contorno crítico. Quando um usuário clica em "Aceitar", ele não está entregando sua senha; está concedendo a um aplicativo OAuth registrado um conjunto de permissões delegadas. Os atores de ameaça por trás do SloppyLemming pré-registraram esses aplicativos maliciosos no Azure AD (agora Entra ID). A concessão de consentimento lhes fornece um token de atualização (refresh token) OAuth, que pode ser usado para gerar novos tokens de acesso para a Microsoft Graph API ou outros recursos, tudo sem que a senha ou o token MFA do usuário sejam necessários novamente. O ataque explora a confiança inerente que os sistemas depositam nos tokens OAuth, projetados para representar o consentimento do usuário.

A investigação da Microsoft indica que, uma vez que o acesso inicial é garantido por meio desse abuso do OAuth, os atacantes implantam uma estratégia de malware duplo para se entrincheirarem no ambiente da vítima. O primeiro estágio envolve um downloader, uma peça de malware leve projetada para buscar e executar cargas úteis adicionais de servidores de comando e controle (C2) controlados pelo atacante. A segunda carga útil, mais persistente, é um backdoor completo, capaz de exfiltrar arquivos, executar comandos remotos e fornecer acesso de longo prazo ao sistema comprometido. Essa abordagem em camadas permite que o grupo mantenha a persistência mesmo se o aplicativo OAuth inicial for descoberto e revogado.

As implicações para a segurança corporativa e governamental são profundas. Durante anos, as equipes de segurança defenderam a MFA como uma barreira quase impenetrável contra a tomada de contas. Esta campanha demonstra que, quando os atacantes deslocam seu foco de roubar credenciais para manipular fluxos de autorização, a MFA por si só é insuficiente. O ataque também evade gateways de segurança de e-mail tradicionais que verificam anexos maliciosos ou links para sites de phishing conhecidos, já que o link inicial geralmente aponta para um domínio de aparência legítima usado para o redirecionamento OAuth.

A defesa contra essa nova ameaça requer uma mudança de estratégia. A Microsoft e especialistas em segurança recomendam várias ações principais:

1. Auditar aplicativos OAuth: Os administradores devem revisar regularmente os aplicativos com consentimento em seu locatário do Entra ID (Azure AD), prestando atenção especial àqueles com altos níveis de permissão e publicadores desconhecidos. Aplicativos suspeitos devem ser revogados imediatamente.
2. Implementar políticas de acesso condicional: As políticas devem ser configuradas para restringir a emissão de tokens com base na conformidade do dispositivo, locais de rede confiáveis e níveis de risco do usuário. Isso pode impedir que um atacante use um token de um dispositivo ou local não familiar.
3. Aplicar fluxos de consentimento do administrador: Desabilitar o consentimento do usuário para permissões de alto privilégio ou para aplicativos de publicadores não confiáveis. Exigir que todos esses consentimentos passem por um processo de revisão administrativa.
4. Treinamento de conscientização do usuário: Educar os funcionários, especialmente aqueles em funções de alto risco, sobre essa nova variante de phishing. A mensagem principal é escrutinar solicitações de permissão para aplicativos, não apenas páginas de login. Eles devem ser treinados para relatar qualquer tela de consentimento inesperada.
5. Monitorar o uso anômalo de tokens: As operações de segurança devem incorporar análises para detectar padrões incomuns no uso de tokens OAuth, como tokens sendo usados de novas geografias ou para acessar grandes volumes de dados em um curto espaço de tempo.

A campanha SloppyLemming é um lembrete contundente de que, à medida que as defesas evoluem, os adversários também evoluem. O abuso de sistemas OAuth e de identidade em nuvem representa uma escalada significativa no manual de ciberespionagem, movendo o campo de batalha do perímetro da rede para a camada central de identidade. Para agências governamentais e empresas em todo o mundo, proteger a identidade não é mais apenas sobre senhas fortes e MFA—é sobre governar as próprias permissões que os usuários concedem aos aplicativos que utilizam.