Campanha sofisticada de phishing AitM mira contas do TikTok for Business e evita Cloudflare

Uma nova onda de ataques de phishing sofisticados está mirando um alvo lucrativo: as contas do TikTok for Business. Analistas de segurança relatam uma campanha ativa que utiliza técnicas de Adversário-no-Meio (AitM) para sequestrar contas, com uma reviravolta notável – os kits de phishing contornam com sucesso o sistema de mitigação de bots Turnstile da Cloudflare, marcando uma escalada significativa na evolução do roubo de credenciais.

A campanha opera atraindo gerentes de contas do TikTok for Business, frequentemente profissionais de marketing de mídia social ou donos de pequenas empresas, para páginas de login falsificadas. Essas páginas são clones meticulosamente elaborados do portal oficial do TikTok for Business. A isca inicial normalmente chega via e-mail ou mensagem direta, posando como uma notificação sobre desempenho do anúncio, uma violação de política ou uma oferta promocional tentadora que requer verificação da conta.

O cerne do ataque está em sua arquitetura AitM. Diferente do phishing tradicional que simplesmente coleta nomes de usuário e senhas, um ataque AitM posiciona o servidor do agressor entre a vítima e o serviço legítimo (TikTok). Quando a vítima insere suas credenciais na página falsa, o proxy AitM as encaminha para o login real do TikTok em tempo real. Isso alcança dois objetivos críticos: valida as credenciais roubadas instantaneamente e, mais importante, captura o cookie de sessão resultante. Esse cookie permite ao invasor contornar requisitos de senha e, em muitos casos, a autenticação multifator (MFA), concedendo a ele acesso persistente e autenticado à conta da vítima sem precisar da senha novamente.

A sofisticação técnica é ainda mais demonstrada pela evasão do Cloudflare Turnstile. O Turnstile é projetado para apresentar desafios interativos a bots automatizados, protegendo sites de preenchimento de credenciais e scraping. Os agentes de ameaças por trás desta campanha integraram funcionalidade em seus kits de phishing que resolve ou contorna esses desafios do Turnstile, permitindo que suas páginas maliciosas carreguem perfeitamente para a vítima. Essa evasão remove um sinal de alerta comum que poderia avisar um usuário cauteloso e aumenta a legitimidade percebida da página de phishing.

Os motivos para sequestrar contas do TikTok for Business são principalmente financeiros. Contas comprometidas concedem acesso ao orçamento de publicidade associado e aos métodos de pagamento. Os atacantes podem drenar rapidamente esses fundos executando anúncios maliciosos (malvertising) promovendo golpes, produtos fraudulentos ou malware. Alternativamente, a credibilidade estabelecida e a base de seguidores da conta podem ser instrumentalizadas para distribuir infostealers ou outro malware através de mensagens diretas ou links postados, aproveitando a confiança da audiência da conta. Também há potencial para sabotagem de marca ou ameaças no estilo ransomware contra a empresa para restaurar o acesso à conta.

Esta campanha ressalta uma mudança estratégica por parte de cibercriminosos em direção a plataformas onde o ganho financeiro direto é possível. Contas de publicidade em mídias sociais são alvos atraentes devido aos seus saldos pré-pagos ou cartões de crédito vinculados. O uso de técnicas AitM e de evasão de antibots mostra que esses agentes estão investindo em infraestrutura de qualidade para melhorar as taxas de sucesso contra alvos mais conscientes de segurança.

Recomendações para Defesa:

1. Aplicar MFA Resistente a Phishing: Sempre que possível, use chaves de segurança FIDO2 ou aplicativos autenticadores. Embora o AitM possa às vezes interceptar códigos de uso único, métodos resistentes a phishing são muito mais seguros.
2. Escrutinar URLs de Login: Digite sempre manualmente a URL oficial do TikTok for Business ou use um favorito confiável. Passe o mouse sobre links em e-mails para inspecionar o destino real.
3. Monitorar Atividade da Conta: Revise regularmente sessões ativas, campanhas de anúncios e gastos dentro do seu TikTok Ads Manager em busca de alterações não autorizadas.
4. Segmentar e Limitar Acesso Financeiro: Use métodos de pagamento separados com limites baixos ou cartões pré-pagos para contas de publicidade para minimizar perdas potenciais.
5. Treinamento de Conscientização em Segurança: Eduque membros da equipe que gerenciam contas sociais sobre as características do phishing sofisticado, incluindo ameaças AitM e a importância de verificar HTTPS e nomes de domínio.

O surgimento de kits de phishing AitM capazes de derrotar proteções avançadas contra bots como o Cloudflare Turnstile é uma tendência preocupante. Sinaliza que as ferramentas para phishing de alta taxa de sucesso estão se tornando mais acessíveis e eficazes, exigindo que os defensores vão além da segurança baseada em senha e cultivem vigilância contínua.