Uma nova campanha maliciosa está a colocar em risco a segurança de profissionais em viagem. Piratas informáticos estão a alterar as configurações de DNS em equipamentos Wi-Fi de hotéis e centros de conferências com o objetivo de redirecionar os utilizadores para páginas falsas de início de sessão. Segundo avançou o BleepingComputer, esta operação visa roubar credenciais do Microsoft 365 para aceder a informações empresariais sensíveis, comunicações e documentos privados.
A atividade foi detetada pela empresa de cibersegurança ReliaQuest e encontra-se em curso desde pelo menos o mês de junho. O impacto estende-se a gateways de internet comprometidos em várias cidades dos Estados Unidos, bem como noutras regiões do globo, como a Índia e a Arábia Saudita. Os investigadores acreditam que as táticas utilizadas partilham semelhanças com a campanha FrostArmada, associada ao grupo de espionagem russo APT28, também conhecido por Fancy Bear ou Forest Blizzard. As vítimas pertencem a múltiplos setores, desde serviços financeiros e jurídicos até à saúde, energia e retalho.
Como funciona o desvio de tráfego
A forma exata como o acesso inicial aos equipamentos de rede é obtido permanece incerta. A equipa da ReliaQuest sugere que os atacantes podem estar a explorar vulnerabilidades ou interfaces de gestão expostas com proteção fraca, tais como SSH, SNMP ou painéis de administração web. Após obterem privilégios de administrador, os cibercriminosos modificam as definições de DNS para desviar as ligações de domínios legítimos para uma infraestrutura totalmente controlada por eles. Para o efeito, foram registados vários endereços falsos desenhados para imitar os portais oficiais com enorme precisão.
Quando um alvo tenta entrar na sua conta a partir da rede do hotel, aterra na página de phishing e introduz as suas credenciais sem desconfiar. Em algumas situações analisadas, a operação recorre a um fluxo de autenticação por código de dispositivo. O utilizador recebe um pedido de aprovação numa página falsa e, ao autorizar a solicitação, concede na realidade um token OAuth legítimo diretamente ao cliente do atacante. Este método contorna eficazmente a proteção por autenticação multifator (MFA) sem que exista o roubo tradicional da senha.
Táticas secundárias e medidas de defesa
Em cerca de um terço dos casos investigados, os responsáveis tentaram ainda abusar da funcionalidade WPAD. O intuito passava por responder à procura automática do Windows por esta ferramenta com um ficheiro de configuração de proxy malicioso. O objetivo teórico seria encaminhar o tráfego de aplicações, incluindo do Google Chrome, para um servidor proxy controlado pelos hackers, embora a eficácia concreta deste vetor não tenha sido confirmada de forma conclusiva.
Utilizar servidores de DNS públicos não resolve o problema nas redes visadas. A ReliaQuest alerta que as portas de ligação forjam os pedidos em texto simples antes que estes cheguem ao resolver pretendido. Como medida de proteção para quem viaja em trabalho, é recomendada a utilização de uma VPN com túnel completo sempre ativa e a adoção de DNS encriptado em modo estrito. A nível de gestão de redes e contas, aconselha-se também a desativação do WPAD, a revisão sistemática de registos em busca de anomalias e o bloqueio do fluxo de autenticação por código de dispositivo no Microsoft Entra ID caso este não seja estritamente necessário para as operações da empresa.
Nenhum comentário
Seja o primeiro!