Pesquisadores da ReliaQuest alertaram para uma nova série de campanhas de phishing que têm como alvo contas corporativas do Microsoft 365. As investidas usam duas ameaças chamadas Jalisco e OmegaLord, projetadas para contornar a autenticação em duas etapas (MFA) e tomar controle de credenciais empresariais.

No caso do Jalisco, os criminosos exploram o recurso Device Code (Código de Dispositivo) da Microsoft, usado para autenticar dispositivos como smart TVs. Na prática, o invasor simula a adição de um novo aparelho à conta e envia à vítima um e-mail sugerindo uma “verificação urgente”, direcionando-a a uma página falsa da Microsoft. Ao inserir o código exibido pelo suposto dispositivo, o usuário acaba autorizando o acesso do atacante.

Para vencer a limitação de tempo dos códigos — que expiram em 15 minutos — o Jalisco gera novos códigos automaticamente assim que a vítima acessa a página fraudulenta. Segundo a ReliaQuest, os invasores conseguem cadastrar até cinco dispositivos falsos na conta comprometida e atribuem nomes como “Windows” para dificultar a detecção pelo titular da conta ao revisar a lista de acessos.

Como age o OmegaLord

O OmegaLord concentra-se na captura de dados necessários para quebrar o MFA. Ao abrir um documento falso, a vítima é levada a uma tela que solicita e-mail corporativo, senha e número de celular. A partir do número, os atacantes tentam realizar ataques à operadora ou interceptar mensagens SMS para completar a autenticação.

A obtenção do telefone — por roubo físico ou métodos de clonagem de chip — amplia as opções dos criminosos, que também podem acionar procedimentos de suporte ou rotinas automáticas de recuperação de conta para assumir o controle das credenciais.

De acordo com a ReliaQuest, uma vez que os invasores obtêm acesso à conta do funcionário via Jalisco ou OmegaLord, eles levam cerca de seis minutos para entrar em plataformas internas, como o SharePoint. Nesse intervalo curto, são roubadas planilhas financeiras, dados pessoais de clientes e e-mails confidenciais, frequentemente usados para chantagear as empresas afetadas.

Imagem: Divulgação

Como medidas de proteção, a ReliaQuest recomenda reduzir o número de dispositivos vinculados às contas Microsoft — atualmente o sistema permite até 50 — e, quando possível, desativar o recurso Device Code em ambientes corporativos que não o exijam.





O relatório também destaca que golpes complexos seguem em evolução: o ataque RedHook voltou a ser observado com uma versão aprimorada capaz de comprometer celulares Android.

Com informações de Tecmundo