Kits de phishing 'Jalisco' e 'OmegaLord' automatizam desvio de MFA via device code phishing
Pesquisadores da ReliaQuest identificaram dois novos kits de phishing-as-a-service — Jalisco e OmegaLord — voltados a burlar autenticação multifator. Jalisco abusa do fluxo de “device code” do OAuth, gerando códigos de autorização válidos em tempo real para contornar o limite de 15 minutos de expiração; OmegaLord soma a isso a coleta do número de telefone da vítima, permitindo sequestrar também o segundo fator. A técnica é perigosa porque nunca expõe a senha da vítima ao atacante — a autenticação acontece de forma “legítima” nos servidores reais do provedor.
A ReliaQuest documentou dois toolkits novos de phishing operando como serviço, ambos direcionados a driblar a autenticação multifator (MFA) corporativa. O Jalisco é descrito como uma plataforma de “device code phishing” que se integra a serviços de phishing-as-a-service como o EvilTokens para fornecer códigos OAuth frescos em tempo real, superando a limitação normal de 15 minutos de validade desses códigos através de uma técnica de regeneração de iscas. O segundo, OmegaLord, vai além: coleta não só credenciais, mas também o número de telefone da vítima, o que dá ao atacante um caminho para interceptar ou sequestrar o próprio processo de MFA.
O que torna esse ataque particularmente perigoso é o mecanismo que ele explora: o fluxo de “device code” do OAuth foi desenhado para permitir login em dispositivos sem teclado (TVs, consoles), pedindo que o usuário digite um código em outra tela para autorizar o acesso. Um atacante gera esse código e engana a vítima — por e-mail, chamada ou mensagem — para que ela mesma o insira, “autorizando” a sessão do atacante. Como a autenticação de fato ocorre nos servidores legítimos do provedor de identidade, a senha da vítima nunca é exposta ao atacante nem circula por um site falso, o que faz esse tipo de ataque escapar de defesas voltadas para páginas de login clonadas.
Esse padrão de ataque tende a ser usado como porta de entrada para fraudes maiores: uma vez com a sessão OAuth sequestrada, o atacante ganha acesso à caixa de e-mail e a documentos corporativos, terreno fértil para golpes de Business Email Compromise (BEC) — desde solicitações fraudulentas de transferência até o desvio de faturas de fornecedores.
A defesa mais eficaz é restringir ou desabilitar o fluxo de device code sempre que ele não for estritamente necessário para o parque de dispositivos da organização, e aplicar políticas de acesso condicional que barrem esse tipo de autenticação a partir de localizações ou dispositivos não reconhecidos. Adotar MFA resistente a phishing (chaves de segurança FIDO2/passkeys) no lugar de OTP ou push simples reduz drasticamente a superfície de abuso, já que esses fatores não podem ser repassados por engenharia social. Times de segurança também devem monitorar concessões de OAuth anômalas e treinar usuários para desconfiar de qualquer solicitação não solicitada para “digitar um código” em outro dispositivo ou tela.